Webサーバー「nginx」に3件の脆弱性 ～最大深刻度はCritical、DoSやコード実行の恐れ

「nginx」の安定版「1.30.4」と開発版「1.31.3」が公開

　米F5は7月15日（現地時間）、Webサーバー「nginx」（エンジンエックス）の安定版（stable）v1.30.4と開発版（mainline）v1.31.3を公開した。先月に続くセキュリティアップデートで、新たに3件の脆弱性が修正されている。

• CVE-2026-42533：「map」ディレクティブにおけるヒープバッファーオーバーフロー。細工したHTTPリクエストを送ることで認証なしでもワーカープロセスの再起動（DoS）を引き起こせるほか、「ASLR」が無効化された環境などではコード実行につながるおそれもある。深刻度の評価は「CVSS 4.0」の基本値（以下同）で10点満点中「9.2」（Critical）
• CVE-2026-60005：「ngx_http_slice_module」における未初期化メモリの使用。「slice」ディレクティブと名前なしの正規表現キャプチャを併用している場合などに、リモートからリクエストを送るだけで、認証なしでもワーカープロセスのメモリ内容を限定的に漏洩させたり、再起動を引き起こせる。深刻度の評価は「8.8」（High）
• CVE-2026-56434：SSI（Server-Side Includes）を扱う「ngx_http_ssi_module」における、解放済みメモリの使用（use-after-free）。SSIと「proxy_pass」、「proxy_buffering off」を組み合わせた設定で、中間者（MITM）攻撃により上流サーバーからのレスポンスを操作できる攻撃者が限定的なメモリ改変や再起動を引き起こせるおそれがある。深刻度の評価は「8.3」（High）

　「nginx」は、クロスプラットフォーム対応・オープンソースのWebサーバーシステム。現在、公式サイト「nginx.org」などから無償でダウンロードできる。Windows版はWindows XP/7/10/11およびWindows Server 2003でテストされているとのこと。