脅威動向 2026-10-16（金）配信

NGINX、RCEの可能性やTLS不具合など5件の脆弱性を修正

NGINXは安定版1.30.6およびメインライン版1.31.7を公開し、リモートコード実行の可能性を含む5件の脆弱性を修正しました。F5によると、メモリ管理やTLSセッション処理などに不具合があり、特定の構成で影響を受けます。

脅威の概要

NGINXは、ヒープオーバーフローによるワーカープロセスのクラッシュやコード実行のおそれがある3件のメモリ管理の不具合（CVE-2026-15176、CVE-2026-93479、CVE-2026-97205）や、クライアント証明書検証を回避するおそれがあるTLSセッション処理の不具合（CVE-2026-97629）、HTTP/3リクエスト処理の不具合（CVE-2026-95101）を含む計5件の脆弱性を修正しました。

主要なTTP

特定の構成条件（aliasとrewriteの併用、正規表現map、AIOとSSIの有効化、HTTP/3、共有TLSセッションキャッシュ）の悪用

ヒープオーバーフローやUAFを利用したワーカープロセスのクラッシュおよびコード実行の試行

HTTP/3通信における不正なバイトデータの挿入によるバックエンドへのリクエスト混入

対象となる組織・利用者

NGINX（安定版1.30系、メインライン版1.31系、および古い分岐）を運用している組織。

推奨される防御アクション

NGINXを安定版1.30.6またはメインライン版1.31.7にアップグレードする

アップグレードが困難な場合は、各脆弱性に関連する設定（alias、$request_filename、regex map、AIO、SSI、HTTP/3、共有TLSセッションキャッシュなど）を無効化する等の回避策を適用する

出典：https://thehackernews.com/2026/10/nginx-fixes-5-flaws-including-possible.html

CVE-2026-15176 の経緯（2号）