F5、BIG-IP・NGINXの7件の脆弱性を緊急公開　CVE-2026-78689はCVSS 9.2、認証回避や権限昇格も

F5は2026年9月2日、BIG-IPやBIG-IQ、NGINX製品に関する「Out-of-band Security Notification」を公開し、複数の脆弱性に対する修正版を案内しました。

通知に紐づくCVEは7件で、BIG-IPの管理インターフェースにおける権限昇格、NGINX JavaScript（njs）の認証・認可回避やサービス妨害、NGINX Ingress Controller／NGINX Gateway Fabricの設定インジェクションなどが含まれます。

このうちCVE-2026-78689はCVSS v4.0で9.2（Critical）です。未認証のリモート攻撃者が特定条件下でNGINXワーカープロセスをクラッシュさせる可能性があり、F5はコード実行について「実証されていないが、すべてのプラットフォームで排除できない」と説明しています。

一方、9月7日時点で、今回の7件が実際のサイバー攻撃で悪用されたとの一次情報は確認できません。CISA Known Exploited Vulnerabilities（KEV）Catalogへの掲載も確認できませんでした。

F5の2026年9月緊急セキュリティ通知のサマリー

• 【確認済み】F5は2026年9月2日、「Out-of-band Security Notification」を公開しました。
• 【確認済み】通知に紐づくCVEは7件です。
• 【確認済み】対象にはBIG-IP、BIG-IQ、NGINX Gateway Fabric、NGINX Ingress Controller、NGINX JavaScriptが含まれます。
• 【確認済み】CVE-2026-78689はCVSS v4.0で9.2（Critical）、CVSS v3.1では8.1（High）です。
• 【確認済み】CVE-2026-66842では、BIG-IPの低権限ユーザーが管理者アカウントを作成できる可能性があります。
• 【確認済み】CVE-2026-18329では、未認証の攻撃者がNGINX JavaScriptのjs_accessによる認証・認可制御を回避できる可能性があります。
• 【確認済み】CVE-2026-77180では、NGINX Ingress Controllerの設定インジェクションにより、ファイル作成・削除やサービス停止につながる可能性があります。
• 【確認済み】CVE-2026-66362では、NGINX Gateway Fabricで任意のNGINX設定ディレクティブを注入できる可能性があります。
• 【確認済み】CVE-2026-78222では、細工されたHTTPレスポンスによりNGINXワーカーをクラッシュさせ、DoSを引き起こせる可能性があります。
• 【確認済み】CVE-2026-63020はBIG-IP Configuration utilityの表示偽装に関するLow脆弱性です。
• 【確認できず】9月7日時点で、今回の7件について実際の攻撃での悪用は確認できませんでした。
• 【確認できず】9月7日時点で、今回の7件のCISA KEV掲載は確認できませんでした。
• 【注意】F5はサポート終了済みバージョンについて評価していません。

CVE	製品	主な影響	CVSS v3.1	CVSS v4.0
CVE-2026-78689	NGINX JavaScript	DoS、コード実行の可能性を排除できず	8.1 High	9.2 Critical
CVE-2026-66842	BIG-IP / BIG-IQ	管理者アカウント作成による権限昇格	8.8 High	8.7 High
CVE-2026-77180	NGINX Ingress Controller	設定注入、ファイル操作、サービス停止	8.3 High	8.7 High
CVE-2026-18329	NGINX JavaScript	認証・認可回避	8.2 High	8.8 High
CVE-2026-66362	NGINX Gateway Fabric	任意のNGINX設定ディレクティブ注入	8.1 High	8.6 High
CVE-2026-78222	NGINX JavaScript	DoS	7.5 High	8.7 High
CVE-2026-63020	BIG-IP	エラーメッセージ偽装	3.1 Low	2.3 Low

CVE-2026-78689はCVSS 9.2、未認証でNGINX JavaScriptへ影響

今回の中で最も深刻度が高いのが、NGINX JavaScriptのCVE-2026-78689です。

問題はnjsのXMLモジュールにあるnamespace prefix listの解析処理にあり、xml.exclusiveC14n()を利用する構成が影響を受けます。

F5によると、外部から制御可能なXML namespace prefix listを処理する構成では、未認証のリモート攻撃者が脆弱性を誘発できる可能性があります。

公式のnginxinc/nginx-samlリファレンス実装も影響を受け、SAML署名の検証前に攻撃者が制御するデータを処理するため、有効なSAML署名は必要ありません。

脆弱性が悪用されると、NGINXワーカーの繰り返し再起動やメモリ消費によるサービス妨害につながる可能性があります。

一方、コード実行についてF5は「実証されていない」としています。メモリ範囲外への書き込みによる影響は環境条件に依存し、すべてのプラットフォームでコード実行の可能性を排除できないという位置付けです。

したがって、「未認証RCEが確認された」と断定するのは適切ではありません。

BIG-IPでは低権限ユーザーから管理者アカウント作成の可能性

BIG-IPとBIG-IQでは、CVE-2026-66842が特に重要です。

F5によると、認証済みのBIG-IPユーザーは、役割にかかわらずTraffic Management User Interface（TMUI）への特定のリクエストを通じ、管理者アカウントを作成できる可能性があります。

攻撃者にはBIG-IP管理インターフェースへのネットワークアクセスと、有効な低権限アカウントが必要です。

成功すると管理者権限へ昇格できるため、CVSS v3.1は8.8（High）です。

F5は、この問題をデータプレーンではなくコントロールプレーンの脆弱性と説明しています。

また、F5のCVEレコードでは本件に有効な回避策は「None」とされています。影響バージョンを利用している場合は修正版への更新が基本対応になります。

NGINX JavaScriptでは認証・認可回避も

CVE-2026-18329はNGINX JavaScriptのjs_accessを利用してアクセス制御を行っている環境に影響します。

非同期でリクエストボディを処理している際に例外が発生すると、本来拒否されるべきリクエストがそのまま処理される「fail open」の状態になる可能性があります。

F5によると、未認証の攻撃者が細工したHTTPリクエストを送信することで、js_accessによる認証・認可制御を回避し、保護されたリソースへアクセスできる可能性があります。

CVSS v3.1は8.2（High）です。

暫定対応としてF5は、js_accessの処理で例外が発生した場合に必ずアクセスを拒否するようエラーハンドリングを実装することを案内しています。

NGINX Ingress Controllerでは設定注入からファイル操作も

CVE-2026-77180はNGINX Ingress Controllerの設定生成処理におけるインジェクション脆弱性です。

Ingress annotationsなど、利用者が制御できる複数の値が十分に無害化されないままNGINX設定へ書き込まれることが原因です。

Kubernetes API上で対象リソースを作成・変更できる認証済みユーザーは、任意のNGINX設定ディレクティブを注入できる可能性があります。

F5は影響として、任意のNGINX設定の注入に加えて、ファイルの作成・削除やサービス停止を挙げています。

ただし、攻撃には対象となるKubernetesリソースへの書き込み権限が必要です。

F5は暫定対策として、VirtualServer、VirtualServerRoute、Policy、DosProtectedResource、Ingressなどへの作成・更新・patch権限を信頼できるクラスタ管理者へ限定することを推奨しています。

NGINX Gateway Fabricにも設定インジェクション

CVE-2026-66362は、NGINX PlusをNGINX Gateway Fabricのデータプレーンとして利用している構成に影響します。

Authentication Filterの一部フィールドが十分に無害化されずNGINX設定テンプレートへ反映されるため、対象Kubernetesリソースを変更できるユーザーが任意のNGINX設定ディレクティブを注入できる可能性があります。

CVSS v3.1は8.1（High）です。

F5は完全な暫定対策として、影響を受けるCustom Resource DefinitionへのKubernetes RBAC書き込み権限を、完全に信頼できる管理者だけに制限するよう案内しています。

CVE-2026-78222はNGINXワーカーのDoS

CVE-2026-78222もNGINX JavaScriptに影響します。

ngx.fetch()で取得したHTTPレスポンスが不正な形式の場合、信頼されたJavaScriptコードがResponse.statusTextを読み取ることでNGINXワーカーがクラッシュする可能性があります。

攻撃には、NGINXが取得するHTTPレスポンスを攻撃者が制御または影響できることが条件になります。

F5は、リモート攻撃者によるサービス妨害につながる可能性があるとしています。

CVSS v3.1は7.5（High）です。

CVE-2026-63020はBIG-IPの表示偽装

CVE-2026-63020はBIG-IP Configuration utilityのエラーメッセージを偽装できる脆弱性です。

攻撃者は、認証済みのBIG-IP管理者などに悪意のあるリンクへアクセスさせ、Configuration utility上に偽のエラーメッセージを表示させる可能性があります。

CVSS v3.1は3.1（Low）で、今回の7件では最も低い評価です。

F5は暫定対策として、BIG-IP Configuration utilityを利用した後はログアウトしてブラウザを閉じ、管理用ブラウザと通常のインターネット閲覧用ブラウザを分離することを推奨しています。

修正版はBIG-IP 17.1.3.4など

今回の通知で確認すべき主な更新先は以下です。

製品	修正版・非脆弱バージョンの目安
BIG-IP 17.1系	17.1.3.4以降
BIG-IP 17.5系	17.5.1.8以降
BIG-IP 21.0系	21.0.0.3以降
BIG-IP 21.1系	21.1.0.1以降
BIG-IQ	8.4.2.1以降
NGINX Gateway Fabric	2.6.8以降
NGINX Ingress Controller	5.6.0以降
NGINX Ingress Controller LTS	2026-lts-r5以降
NGINX JavaScript	1.0.1以降

実際の影響範囲はCVEごとに異なるため、「F5製品だから一律に影響する」と判断するのではなく、各アドバイザリで利用機能とバージョンを照合する必要があります。

また、F5はEnd of Technical Support（EoTS）に到達したソフトウェアについて評価していません。

サポート終了版を利用している場合、「影響なし」ではなく「評価対象外」である点に注意が必要です。

実悪用は確認されず、KEVにも未掲載

9月7日時点で、今回の7件について実際の攻撃で悪用されたことを示すF5やCISAの一次情報は確認できませんでした。

CVEレコードに付与されたCISAのSSVC情報では、CVE-2026-78689、CVE-2026-66842、CVE-2026-77180などについて「Exploitation: none」とされています。

CISA Known Exploited Vulnerabilities Catalogへの掲載も確認できません。

また、F5のアドバイザリやCVEレコードにはPoC公開の記載はありません。

ただし、今回の通知には未認証で悪用可能なNGINX JavaScriptの認証回避や、低権限アカウントからBIG-IP管理者権限へ昇格できる問題が含まれています。

実悪用確認を待つのではなく、インターネットから到達可能な環境や管理インターフェースが露出している環境では優先的に更新する必要があります。

過去にもNGINX JavaScriptでCVSS 9.2の脆弱性

NGINX JavaScriptでは2026年5月にも、CVSS v4.0で9.2（Critical）のCVE-2026-8711が公表されています。

セキュリティ対策Labでは、この脆弱性についても影響条件や修正版を整理しています。

関連記事：nginxの「njs」モジュールにCVSS 9.2の深刻なヒープバッファオーバーフロー 脆弱性 CVE-2026-8711

また、BIG-IPでは過去にCVE-2025-20029のPoC公開や、CVE-2025-53521の実悪用確認などもありました。

関連記事：F5 BIG-IPの脆弱性 PoCがリリース（CVE-2025-20029）

情報システム・ネットワーク管理者への示唆

今回の通知では、BIG-IPの管理プレーン、Kubernetes上のNGINXコントローラー、Webリクエストを処理するNGINX JavaScriptと、異なる層の脆弱性が同時に公開されています。

まず、自社で利用しているF5／NGINX製品とバージョンを棚卸しし、各CVEの条件に該当するか確認してください。

BIG-IPでは管理インターフェースへのアクセス元を必要最小限に制限し、管理者以外のアカウントに不要な権限が付与されていないかを確認する必要があります。

Kubernetes環境では、NGINX Ingress ControllerやGateway Fabricのアップデートに加え、IngressやCustom Resourceへ書き込み可能なRBAC主体を棚卸しすることが重要です。

NGINX JavaScriptを利用している環境では、njsのバージョンだけでなく、js_access、XML処理、SAML連携、外部HTTP取得など、実際に脆弱なコードパスを利用しているかも確認してください。

特に今回のCVE-2026-78689は、公式のnginx-samlリファレンス実装も影響対象とされています。

また、サポート終了版はF5の評価対象外です。パッチ適用だけでなく、サポート対象バージョンへの移行計画も含めて対応する必要があります。

出典

• K000162872: Out-of-band Security Notification (September 2, 2026) – F5
• K000161728: BIG-IP Configuration utility vulnerability CVE-2026-63020 – F5
• K000162521: BIG-IP and BIG-IQ Configuration utility vulnerability CVE-2026-66842 – F5
• K000162599: NGINX ngx_http_js_module vulnerability CVE-2026-18329 – F5
• K000162600: NGINX Gateway Fabric vulnerability CVE-2026-66362 – F5
• K000162601: NGINX Ingress Controller vulnerability CVE-2026-77180 – F5
• K000162602: NGINX ngx_http_js_module vulnerability CVE-2026-78689 – F5
• K000162603: NGINX ngx_http_js_module vulnerability CVE-2026-78222 – F5
• F5 security advisory AV26-878 – Canadian Centre for Cyber Security
• Multiples vulnérabilités dans les produits F5 – CERT-FR
• Known Exploited Vulnerabilities Catalog – CISA
• nginxの「njs」モジュールにCVSS 9.2の深刻なヒープバッファオーバーフロー 脆弱性 CVE-2026-8711 – セキュリティ対策Lab
• F5 BIG-IPの脆弱性 PoCがリリース（CVE-2025-20029） – セキュリティ対策Lab