NGINX の脆弱性 CVE-2026-97205／93479／15176 が FIX：サーバ・クラッシュやコード実行の恐れ

Multiple NGINX Flaws Let Remote Attackers Crash Servers and Execute Malicious Code

2026/10/14 CybersScurityNews — F5 が公表したのは、NGINX Plus／NGINX Open Source に存在する 3 件の深刻なセキュリティ脆弱性に関する情報である。これらの脆弱性を悪用する未認証のリモート攻撃者は、細工した HTTP リクエストを送信し、ワーカープロセスをクラッシュさせる可能性がある。特定の構成では、これらのメモリ処理に関する不具合がコード実行につながる可能性もある。ただし、F5 によると、そのための前提として、アドレス空間配置のランダム化 (Address Space Layout Randomization：ASLR) の無効化と ASLR バイパスが条件となる。

3 件の脆弱性は、管理機能を担うコントロール・プレーンではなく、ユーザーのトラフィックを処理する NGINX のデータ・プレーンに影響する。一連の脆弱性は、CVE-2026-97205／CVE-2026-93479／CVE-2026-15176 として追跡されている。

F5 は 2026年10月14日に 3 件のセキュリティ・アドバイザリを公開し、すべての脆弱性の深刻度を CVSS v3.1 で 8.1 (High)、CVSS v4.0 で 9.2 (Critical) と評価した。ただし、これらの脆弱性は、すべての NGINX サーバで無条件に悪用できるわけではない。悪用に際しては、特定のソフトウェア・バージョンとサーバ設定が必要となる。

CVE-2026-97205：非同期 I/O と SSI に関連する解放後使用の脆弱性

脆弱性 CVE-2026-97205 は、ngx_http_core_module に存在する解放後使用 (Use-After-Free：UAF) の欠陥である。この問題は、非同期ファイル I/O (AIO) が有効化された状態で、NGINX が include virtual コマンドを含む Server Side Includes (SSI) ページを処理する場合に発生し得る。

この脆弱性が悪用されると、解放済みのメモリをワーカー・プロセスが引き続き使用し、メモリ破損や予期しないワーカー・プロセスの終了につながる恐れがある。

F5 は、この問題を報告したセキュリティ研究者 Cyberlanc3r に謝意を表している。

CVE-2026-93479：map ディレクティブに関連するヒープバッファ・オーバーフロー

脆弱性 CVE-2026-93479 は、NGINX の map ディレクティブと正規表現のマッチング処理に関連するヒープバッファ・オーバーフローの欠陥である。この問題は、root ディレクティブまたはアクセスログの書式設定において、map の出力変数よりも先に、正規表現のキャプチャ変数を参照する場合に発生し得る。

また、文字列式の中でキャッシュ不可の変数を使用する場合にも、関連する問題が発生する可能性がある。

このような設定が存在するケースにおいて、細工した HTTP リクエストを送信する攻撃者が、ワーカープロセスが確保しているメモリ領域の境界を越えて、データ書き込みが発生する可能性がある。その結果として、ワーカー・プロセスがクラッシュし、再起動に至る恐れがある。

F5 は、この脆弱性の協調的な開示に貢献した、Tolmo の Matt Suiche と Mateusz Gierblinski に謝意を表している。

CVE-2026-15176：alias と rewrite の組み合わせに関連するヒープバッファ・オーバーフロー

脆弱性 CVE-2026-15176 は、ngx_http_core_module に存在する別のヒープバッファ・オーバーフローの欠陥である。この問題は、location ブロック内で alias と rewrite を組み合わせ、さらに $request_filename を参照する set／return ディレクティブを使用するコンフィグに影響する。

また、アクセスログの log_format に $request_filename が含まれている場合にも、同様のリスクが存在する可能性がある。

F5 によると、未認証のリモート攻撃者が、この脆弱性を悪用できる。ただし、悪用に必要なサーバ側の設定条件は、攻撃者の制御範囲外にあるため、対象となるコンフィグが存在する必要がある。

この脆弱性は、F5 社内において発見された。

影響を受ける NGINX のバージョン

影響範囲は広く、NGINX Open Source の複数のバージョン系列に加え、NGINX Plus にも影響する。

NGINX Plus については、バージョン 37.0.0～37.0.4 が、3 件の脆弱性の影響を受ける。さらに、以下の関連製品にも影響が及ぶ。

• NGINX Instance Manager
• F5 WAF for NGINX
• NGINX Gateway Fabric
• 一部の NGINX Ingress Controller リリース

ただし、影響を受けるバージョンを使用しているだけで、必ずしも脆弱性の悪用に遭遇するわけではない。それぞれの脆弱性に対応する、設定条件も満たしている必要がある。

修正済みバージョンと推奨されるアップデート

F5 が推奨するのは、影響を受ける製品群を、修正済みバージョンへとアップグレードすることだ。

一部の古いバージョン系列に対しては、修正アップデートが提供されない点に注意する必要がある。そのため F5 が推奨するのは、修正を含むサポート対象のバージョン系列への移行である。

パッチ迅速な適用が不可能な場合の回避策

直ちに修正済みバージョンへ更新できない場合には、設定を変更することでリスクを軽減できる可能性がある。

• CVE-2026-97205：F5 は、AIO または SSI の、いずれかの無効化を推奨している。ただし、AIO を無効にすると、高負荷環境での大容量の静的ファイルの配信や、メディア・ストリーミング処理において、パフォーマンスが低下する可能性がある。その一方で、SSI を無効化すると、NGINX は SSI タグを処理しなくなる。
  
• CVE-2026-93479：管理者に推奨されるのは、名前のない正規表現キャプチャを、名前付きキャプチャに置き換え、それらを対応するマッチング・ブロック内のみで使用することだ。
  
• CVE-2026-15176：F5 が推奨するのは、location ブロック内での alias の使用を避け、可能な限り $request_filename を使用しないことである。

NGINX の設定確認と構文チェック

管理者にとって必要なことは、以下のコマンドを実行し、現時点で有効な NGINX の設定全体を確認することだ。

nginx -T

このコマンドにより、読み込まれている設定ファイルを含め、現在の設定内容を確認できる。その上で、インストールされている NGINX のビルドと、F5 が公開した各セキュリティ・アドバイザリを照合することも重要である。設定を変更した後は、再読み込みを実行する前に、次のコマンドで構文を確認できる。

nginx -t

これらの確認が重要な理由は、脆弱性の影響を受けるバージョンがインストールされていることだけでは、悪用に必要な条件が成立しないこともあるためだ。

悪用の報告はないが、外部公開された NGINX の早急な確認が必要

今回の公表は、2026年に実施された、複数の NGINX のメモリ・セーフティに関する修正に続くものとなる。

以前に Cybersecurity News は、ヒープオーバーフロー／メモリ情報漏えい／解放後使用に関連する 3 件の NGINX の脆弱性や、コード実行またはサービス拒否を引き起こす可能性がある NGINX の脆弱性について報じている。

今回、新たに公表された 3 件に関する F5 のアドバイザリには、実際に悪用された事例は記載されていない。ただし、インターネットに公開されている NGINX システムについては、早急な確認が求められる。

攻撃が成功すると、ワーカー・プロセスのクラッシュや再起動によりサービスが中断する可能性がある。さらに、ASLR バイパスに成功した場合には、影響がコード実行にまで拡大する可能性がある。

最も確実な対策は、修正済みバージョンへのアップデートである。設定変更による回避策は、現時点で判明している危険な構成条件に対処するものであり、脆弱性そのものを修正するわけではない。

この記事は、Web サーバである NGINX において公表されたデータ・プレーン処理におけるセキュリティ欠陥について解説するものです。非同期ファイル I/O 処理／正規表現のマッチング／パス書き換え処理等におけるメモリ管理の実装不備が背景に存在します。影響として、通信トラフィック処理時のワーカー・プロセスの停止／システム機能の制御権の奪取が引き起こされる恐れがあります。対応策として、各製品に対する修正済みバージョンへの速やかなアップグレード／危険な設定パターンの修正が求められます。