NGINX の脆弱性 CVE-2026-56434／42533／60005 が FIX：RCE／メモリ漏洩／DoS の恐れ

F5 Fixes 3 NGINX Flaws Enabling Potential Remote Code Execution, Memory Disclosure, and DoS Attacks

2026/07/16 gbhackers — NGINX Plus および NGINX Open Source に影響を及ぼす、3 件の脆弱性 CVE-2026-56434／CVE-2026-42533／CVE-2026-60005 に関するセキュリティ・アドバイザリが、F5 から公開された。これらの脆弱性は、NGINX のコントロール・プレーンではなく、データ・プレーンのリクエスト処理に影響し、特定の条件下における未認証攻撃者が、NGINX ワーカー・プロセスのクラッシュ／限定的なメモリ内容の漏洩／コード実行を引き起こす可能性がある。

F5 が 3 件の NGINX 欠陥を修正

これらの脆弱性の悪用の前提として、特定のモジュールとコンフィグの組み合わせが必要となる。そのため、影響を受ける環境を運用している組織は、自身のコンフィグを確認し、F5 が提供する更新を速やかに適用すべきである。

  • CVE-2026-56434 (K000162098)：ngx_http_ssi_module に存在する解放済みメモリの使用 (Use-After-Free) の脆弱性であり、限定的なメモリ内容の改変／NGINX ワーカー・プロセスの再起動を引き起こす可能性がある。
  • CVE-2026-42533 (K000162097)：map ディレクティブと正規表現キャプチャに関連するヒープバッファ・オーバーフローの脆弱性であり、サービス拒否 (DoS) ／コード実行につながる可能性がある。
  • CVE-2026-60005 (K000162100)：ngx_http_slice_module に存在する未初期化メモリ・アクセスの脆弱性であり、限定的なプロセス・メモリの漏洩／ワーカーの再起動を引き起こす可能性がある。

最も深刻な問題は CVE-2026-42533 である。マップ・ディレクティブにおける正規表現マッチングを通じて、NGINX がコンフィグを処理する方法に、この脆弱性は起因する。文字列式において、マップ出力変数よりも前の段階で、マップに関連付けられた正規表現キャプチャ変数が参照された場合に発生する。特定の条件下において、キャッシュ不可の変数が文字列表現で使用された場合にも、同様の状態が発生する可能性があると、F5 は指摘している。

さらに、未認証のリモート攻撃者が、細工された HTTP リクエストを送信することで、NGINX ワーカー・プロセス内のヒープバッファ・オーバーフローを悪用できる。

悪用に成功した攻撃者は、ワーカー・プロセスをクラッシュさせ、サービス拒否 (DoS) 状態を引き起こす可能性がある。Address Space Layout Randomization (ASLR) が無効化されている場合に、また、攻撃者が ASLR の保護を回避できる場合には、コード実行に至る可能性もあると、F5 は警告している。

この状況が示すのは、正規表現キャプチャや動的変数に依存する、複雑な NGINX のマップ・コンフィグを見直すことの重要性である。

2件目の脆弱性 CVE-2026-56434 は、Server-Side Includes (SSI) モジュールが有効化され、proxy_pass が設定され、proxy_buffering が無効化されている環境に影響を及ぼす。

攻撃の前提として、アップストリーム・サーバから送信されるレスポンスを制御する、中間者攻撃 (MitM) のポジションが必要となる。この条件下では、悪意のアップストリーム・コンテンツにより、NGINX ワーカー・プロセス内で解放済みメモリ使用の状態が引き起こされる可能性がある。

F5 は、脆弱性 CVE-2026-56434 を、解放済みメモリの使用 (CWE-416) に分類している。この脆弱性が悪用されると、限定的なメモリ内容の改変／ワーカー・プロセスの強制再起動が発生する可能性がある。

アップストリーム・レスポンスの制御が必要となるため、インターネット全体を対象とする日和見的な悪用の可能性は低い。しかし、外部で制御され十分に信頼できないアップストリーム・サービスに対して、NGINX がトラフィックをプロキシしている場合には、この脆弱性を深刻に受け止める必要がある。

3 件目の脆弱性CVE-2026-60005 は、オプションの ngx_http_slice_module に影響を及ぼすものだ。slice ディレクティブが、名前無しの正規表現キャプチャと一緒に設定されている場合に、また、バックグラウンドでキャッシュ更新が発生した場合に発生する可能性がある。

細工されたリクエストにより、未初期化メモリへのアクセスが発生し、NGINX ワーカー・プロセスから限定的なメモリ内容が漏洩する。また、ワーカー・プロセスが再起動する可能性がある。

脆弱性 CVE-2026-60005 は、未初期化リソースの使用 (CWE-908) に分類される。オプションである ngx_http_slice_module はデフォルトでは無効化されており、”–with-http_slice_module” パラメータを指定してコンパイルする必要があるため、影響を受ける攻撃対象領域は限定的である。

影響を受ける範囲には、脆弱なモジュールまたはコンフィグ・パターンを使用する、NGINX Plus および NGINX Open Source の環境が含まれる。管理者に対して推奨されるのは、バージョンごとの修正済みリリースについて、F5 アドバイザリ K000162098／K000162097／K000162100 を参照することである。影響を受けるインスタンスをアップグレードし、map／SSI／proxy buffering／slice モジュールの設定を監査すべきである。

今回の 3 件の脆弱性は、 NGINX のリクエスト処理を行うデータ・プレーンに原因があります。最も深刻な CVE-2026-42533 は、マップ・ディレクティブと正規表現の処理方法の不備により、ヒープバッファ・オーバーフローを引き起こすものです。また、2 つ目の CVE-2026-56434 は、特定の SSI 設定時に解放済みメモリの使用を引き起こします。CVE-2026-60005 は slice モジュールで、未初期化メモリへのアクセスを許すという問題を引き起こします。いずれも、特定のモジュール利用や複雑な設定の組み合わせといった、内部の処理ロジックの隙が引き金となっています。ご利用のチームは、ご注意ください。よろしければ、NGINX での検索結果も、ご参照ください。