F5、NGINXに深刻な脆弱性3件を修正する緊急パッチ公開―CVSS 9.2、条件次第で任意コード実行の恐れ(CVE-2026-15176,CVE-2026-93479)他

F5傘下のNGINXプロジェクトは2026年10月14日、Webサーバー「NGINX」の複数の脆弱性を修正した更新版を公開しました。このうちCVE-2026-15176、CVE-2026-93479、CVE-2026-97205の3件について、F5はCVSS v4.0でいずれも9.2（Critical）と評価しています。

特定の設定を持つサーバーでは、認証されていない攻撃者が細工したHTTPリクエストを送り、ワーカープロセスの停止やメモリ破損を引き起こす可能性があります。アドレス空間配置のランダム化（ASLR）が無効、または回避されるなどの条件が重なる場合、任意コード実行の恐れもあります。NGINX Open Sourceではmainlineの1.31.7、stableの1.30.6で修正されています。

NGINX緊急セキュリティ更新のサマリー

• F5とNGINXプロジェクトは2026年10月14日、NGINXの脆弱性に対応する修正版を公開しました。
• 主な重大脆弱性はCVE-2026-15176、CVE-2026-93479、CVE-2026-97205の3件です。
• この3件はF5評価でCVSS v4.0が各9.2（Critical）、CVSS v3.1は各8.1（High）です。
• aliasとrewriteの組み合わせ、mapの正規表現・変数評価、非同期ファイルI/O（AIO）とSSIの組み合わせなど、特定の構成が悪用条件になります。
• サービス妨害（DoS）やメモリ破損のほか、ASLRが無効または回避可能な環境ではコード実行の恐れがあります。
• 同じ更新にはHTTP/3のリクエストボディ注入（CVE-2026-95101）とTLSセッション偽造（CVE-2026-97629）の修正も含まれます。
• NGINX Open Sourceの修正版は1.31.7（mainline）または1.30.6（stable）です。
• 商用のNGINX PlusやNGINX Ingress Controller、NGINX Gateway Fabricなどについては、利用する製品・ブランチごとにF5の修正版情報を確認する必要があります。

※深刻度「Critical／9.2」は上記の重大3件に対するF5のCVSS v4.0評価です。NGINXプロジェクトのセキュリティ一覧では独自の深刻度区分により「medium」と表記されており、両者は評価方式が異なります。

CVE-2026-15176：aliasとrewriteの組み合わせでバッファオーバーフロー

CVE-2026-15176は、NGINXのngx_http_core_moduleに存在するヒープバッファオーバーフローです。location内でaliasとrewriteを組み合わせ、setやreturn、アクセスログの書式などで$request_filenameを参照する構成が問題となります。

F5によると、攻撃に必要な条件がそろった場合、認証されていない攻撃者が細工したHTTPリクエストを送信してワーカープロセスを再起動させる可能性があります。対象はデータプレーンの処理であり、管理用コントロールプレーンへの直接的な露出を意味しません。

CVE-2026-93479：mapと正規表現キャプチャーの変数処理に問題

CVE-2026-93479は、mapディレクティブで正規表現を利用し、取得したキャプチャー変数をrootやアクセスログの式から参照する際などに発生するメモリ破損の問題です。特定のキャッシュされない変数を使う文字列式も影響する可能性があります。

攻撃が成立するとNGINXワーカーのクラッシュにつながります。F5は、暫定的な対応として名前のない正規表現キャプチャーを避け、名前付きキャプチャーを使用してその参照範囲を正規表現が一致するブロックに限定する方法を案内しています。

CVE-2026-97205：非同期I/OとSSIの組み合わせでUse-After-Free

CVE-2026-97205は、非同期ファイルI/O（AIO）を有効にした特定の環境で、SSIページのinclude virtualを処理した際にUse-After-Freeが発生する問題です。解放済みメモリへのアクセスによって、ワーカープロセスの異常終了やメモリ破損が起こり得ます。

F5のアドバイザリでは、修正版への更新までの緩和策として、該当するAIOまたはSSI機能の無効化が示されています。ただし、いずれもWebサーバーの機能や性能に影響し得るため、設定変更前に利用状況を確認する必要があります。

HTTP/3とTLSセッション処理の脆弱性も同時に修正

今回のリリースには、上記3件以外にも2件のセキュリティ修正が含まれます。

CVE-2026-95101はHTTP/3の未知のフレームの一部をリクエストボディとして扱ってしまう問題です。NGINX公式リリースノートは、client_max_body_sizeによるサイズ制限の回避や、プロキシ先へのリクエストデータ混入につながる可能性を説明しています。

CVE-2026-97629は、TLSセッションチケット鍵をローテーションする際、鍵の一部が初期化されず、セッション偽造が可能になる恐れがある問題です。いずれも1.31.7と1.30.6で修正されています。

影響製品と修正版：NGINX PlusやIngress Controllerにも注意

NGINX Open Sourceを直接運用する場合、公式に案内されている修正版はmainlineの1.31.7以降、stableの1.30.6以降です。一方、商用製品や組み込み製品では、NGINX本体のバージョン番号だけでは対応状況を判断できません。

F5のCVE-2026-15176に関するアドバイザリでは、次のような修正が示されています。

※上表はCVE-2026-15176に対するF5公式アドバイザリの記載例です。他のCVEについても、個別アドバイザリで自社製品・ブランチの影響範囲と修正版を照合してください。また、古いブランチやサポート終了版では、当該ブランチ内の修正版が用意されていない場合があります。

情報システム部門が確認したい事項

今回の脆弱性は、単にNGINXを導入しているだけで同じ危険性が生じるものではなく、バージョンと設定条件を組み合わせた確認が必要です。管理者は次の項目を優先してください。

1. 外部公開Webサーバー、リバースプロキシ、APIゲートウェイ、KubernetesのIngressなど、NGINXを使用する資産を洗い出す。
2. NGINX Open SourceとNGINX Plus、組み込み製品・コンテナーイメージを区別し、それぞれのビルドと修正状況を確認する。
3. alias／rewrite、mapと正規表現変数、AIO／SSIなど、3件の重大脆弱性に関係する設定を確認する。
4. 修正版を検証環境で適用し、リバースプロキシのルーティング、静的ファイル配信、アクセスログ、SSI、HTTP/3などへの影響を確認したうえで本番適用する。
5. パッチ適用までの期間はF5が案内する緩和策を検討し、ワーカープロセスの異常終了や再起動、予期しないリクエストエラーなどを監視する。

複数の公開資産と脆弱性を照合し、実際の公開状態や業務への影響を基に対応順を決める方法は、脆弱性管理の考え方と進め方でも整理しています。

F5製品群については2026年9月にも別の緊急セキュリティ通知がありましたが、今回は10月14日公開の異なるCVEが対象です。9月の修正内容は過去のF5・BIG-IP・NGINXの脆弱性記事で確認できます。

出典

• NGINX 1.30.6公式変更履歴（2026年10月14日） – NGINX
• NGINX Security Advisories – NGINX
• NGINXニュース・リリース情報 – NGINX
• K000162416: CVE-2026-15176 – F5
• K000162607: CVE-2026-93479 – F5
• K000162608: CVE-2026-97205 – F5