nginxで18年間潜伏したヒープバッファオーバーフローが可能な脆弱性 NGINX Rift(CVE-2026-42945)-即時アップデート推奨

2026年5月13日、F5とセキュリティリサーチ企業depthfirstが、NGINX Plus・NGINX Open Sourceに18年前（2008年）から存在していたクリティカルな脆弱性を公開しました。正式なトラッキング番号はCVE-2026-42945（CVSS v4：9.2・Critical）、通称「NGINX Rift」です。

【この記事のサマリー】

• CVE-2026-42945（NGINX Rift）：CVSS v4 9.2（Critical）/ CVSSv3.1 8.1（High）。ngx_http_rewrite_moduleの18年物のヒープバッファオーバーフロー。
• 影響範囲：NGINX Open Source 0.6.27〜1.30.0・NGINX Plus R32〜R36（および関連F5製品）。
• 攻撃条件：認証不要。特定のrewriteルール設定（「無名PCREキャプチャ＋?を含むreplacement＋後続のrewrite/if/setディレクティブ」）が存在する場合のみ発動。
• 影響：必ずDoS（ワーカープロセスのクラッシュ）、条件次第でRCE（ASLRが無効な場合に現実的）。
• PoC公開済み：depthfirstのGitHubリポジトリ（DepthFirstDisclosures/Nginx-Rift）で公開。OrcaセキュリティはPythonの標準ソケットと1つのGETリクエストだけでDoSを実証。
• 発見の特異性：4件すべてのCVEがdepthfirstの自律型AI分析システムによってNGINXソースコードへの「1クリックのオンボーディング」後に自律的に発見された。
• 即時対応：1.30.1または1.31.0（NGINX Open Source）への即時アップデート。パッチ適用が困難な場合は無名キャプチャを名前付きキャプチャに置き換える設定変更で緩和可能。
• 同日修正された3件の追加CVE：CVE-2026-42946（CVSS 8.3）・CVE-2026-40701（CVSS 6.3）・CVE-2026-42934（CVSS 6.3）。

続報：nginxの脆弱性 NGINX Rift（CVE-2026-42945）が公開3日でサイバー攻撃に悪用

概要

脆弱性はnginxのURLリライト処理を担うngx_http_rewrite_moduleのヒープバッファオーバーフローで、特定のrewriteルール設定がある環境において認証なしでDoS（ワーカープロセスのクラッシュ）が引き起こせます。ASLRが無効な環境ではリモートコード実行（RCE）も可能です。

2026年5月18日時点で悪用は確認されていませんが、PoCが既に公開されているため、サイバー攻撃への悪用リスクが高まっています。

F5はNGINX Open Source 1.30.1・1.31.0、NGINX Plus R36 P4・R32 P6・R37.0.0でこの脆弱性を修正しました。

影響を受けるバージョンと製品

影響を受けない製品：F5 Distributed Cloud・F5 Silverline・NGINX One Console・BIG-IP・BIG-IQ・F5OS・Traffix SDC・F5 AI Gateway。

即時対応—パッチ適用と暫定緩和策

最優先：パッチ適用とnginxの再起動

NGINX Open Sourceの場合、nginx.orgの公式パッケージから1.30.1または1.31.0にアップデートしてください。

# Debian/Ubuntu系
sudo apt update && sudo apt upgrade nginx

# RHEL/AlmaLinux/Rocky系 
sudo dnf update nginx

パッチ適用後は必ずnginxを再起動してください。ワーカープロセスが修正済みバイナリを再ロードするために必要です。

# グレースフルリスタート 
sudo nginx -s reload

# 完全再起動（推奨） 
sudo systemctl restart nginx

バージョンの確認：

nginx -v 
# output: nginx version: nginx/1.31.0 （または1.30.1）

パッチ適用が困難な場合の暫定緩和策

脆弱なrewriteルールにおける無名PCREキャプチャ（$1・$2等）を名前付きキャプチャに置き換えることで、この脆弱性のトリガー条件を排除できます。

# 脆弱な設定（無名キャプチャ + ?） 
rewrite ^/users/([0-9]+)$ /profile.php?id=$1 last;

# 安全な設定（名前付きキャプチャに変更） 
rewrite ^/users/(?<user_id>[0-9]+)$ /profile.php?id=$user_id last;

全てのrewriteディレクティブを対象に設定ファイルを確認してください。

ASLRの有効化確認（RCEリスクの低減）

cat /proc/sys/kernel/randomize_va_space 
# 2 → ASLRが有効（RCEはより困難） 
# 0 → ASLRが無効（RCEのリスクが高い）

ASLRが無効な場合は有効化を検討してください。

sudo sysctl -w kernel.randomize_va_space=2

設定ファイルのスキャン

脆弱なパターンを検出するために以下のコマンドで設定ファイルをスキャンしてください。

# rewriteディレクティブで?と$[0-9]を使用しているものを検索 
grep -rn 'rewrite.*\?.*\$[0-9]' /etc/nginx/

脆弱性の技術詳細—スクリプトエンジンの「2パス処理」におけるフラグ伝播の欠如

根本原因：is_argsフラグが長さ計算パスに伝播しない

NGINX Riftの本質は、ngx_http_rewrite_moduleのスクリプトエンジンが採用する2パス処理のロジックバグにあります。

パス1（長さ計算）：書き込みに必要なバッファサイズを事前計算します。この処理はゼロ初期化されたサブエンジン上で実行されるため、is_argsフラグは0です。

パス2（データコピー）：実際にデータをバッファに書き込みます。この処理はメインエンジン上で実行されます。

問題は、rewriteのreplacement文字列に?が含まれると、ngx_http_script_start_args_codeがメインエンジンのe->is_args = 1を永続的にセットする点にあります。

この乖離により、確保したバッファが実際に書き込まれるデータより小さくなります。コピーパスがヒープバッファの境界を越えて攻撃者が制御するURIデータを書き込み、ヒープバッファオーバーフローが発生します。

「バッファを超えて書き込まれるバイトは攻撃者のURIに由来するため、メモリの破壊は攻撃者によって形成されます」とdepthfirstは述べています。

トリガー条件——3つの設定要素が揃ったときのみ発動

この脆弱性はすべてのNGINX環境で発動するわけではありません。以下の3つの条件が同時に満たされたロケーションブロックが存在する場合のみ脆弱です。

脆弱な設定例：

location /users {
    rewrite ^/users/([0-9]+)$ /profile.php?id=$1 last;
    set $foo $1;  # このset指示がtracking状態を固定し脆弱性を引き起こす
}

URLのリライトやルーティング・正規化・アプリケーションフロント処理にrewriteチェーンを使用している環境ほど、この脆弱なパターンを含む可能性が高くなります。

RCEへの昇格—「クロスリクエストヒープ風水」

基本的なDoSを超えてRCEを達成するために、depthfirstは以下の高度な手法を公開しています。

URIバイトにはNULLバイトが使えないため、オーバーフローペイロードに直接偽のデータ構造を配置できません。代わりに攻撃者はHTTP POSTリクエストボディ（生バイトストリームとして処理されるためNULLバイトを含められる）を使ったヒープスプレーを行い、予測可能なメモリ位置にフェイクなクリーンアップ構造体を配置します。

「悪用は、クロスリクエストヒープ風水（heap feng shui）を使って、隣接するngx_pool_tのcleanupポインタを破壊し（URI バイトにNULLバイトが使えないため、POSTボディ経由でスプレー）、それをフェイクのngx_pool_cleanup_sにリダイレクトして、プール破棄時にsystem()を呼び出させる」とdepthfirstは説明しています。

RCEの信頼性はASLRが無効な場合に高まります。組み込みデバイス・アプライアンス・レガシーシステムなどではASLRが無効になっているケースがあります。現代の汎用LinuxディストリビューションではASLRは通常有効ですが、Orcaセキュリティはシェルコードなしにヒープ破壊と組み合わせる高度な手法によって、ASLRが有効な環境でもRCEが可能なシナリオを指摘しています。

同日修正された3件の追加CVE

今回のF5の四半期パッチリリースでは、NGINX Riftとともに以下の3件も修正されています。

CVE-2026-42946（CVSS v4：8.3）：ngx_http_scgi_moduleとngx_http_uwsgi_moduleでの過剰メモリアロケーション（Buffer overread）。AitM（中間者攻撃）ができる攻撃者が上流サーバーのレスポンスを制御できる場合、NGINXワーカープロセスのメモリを読み取ったり再起動させたりすることが可能。scgi_passまたはuwsgi_passディレクティブが使用されている場合に影響。影響バージョン：0.8.42〜1.30.0。

CVE-2026-40701（CVSS v4：6.3）：ngx_http_ssl_moduleのユーズアフターフリー（Use-after-free）。ssl_verify_clientがonまたはoptionalに設定され、かつssl_ocspがonに設定されている場合に、リモートの非認証攻撃者が限定的なデータ変更またはワーカープロセスの再起動を引き起こす可能性。影響バージョン：1.19.0〜1.30.0。

CVE-2026-42934（CVSS v4：6.3）：ngx_http_charset_moduleの境界外読み取り（Out-of-bounds read）。charset・source_charset・charset_map・バッファリング無効のproxy_passがすべて設定されている場合に、メモリ内容の漏洩またはワーカープロセスの再起動が起こる可能性。影響バージョン：0.3.50〜1.30.0。

AIが18年間見つけられなかったバグを発見—depthfirstの自律型分析システム

今回の脆弱性発見で特に注目されるのは、4件すべてのCVEがdepthfirstの自律型AI分析システムによって、NGINXソースコードへの「1クリックのオンボーディング」後に自律的に発見されたという事実です。

DeXposeの報告によれば、システムはNGINXソースコードを対象に2026年4月のスキャンを開始し、約6時間以内にヒープオーバーフローを含む4件のメモリ破壊の問題をフラグ立てしました。depthfirstがF5に報告したのが4月24日で、F5が修正を公開したのが5月13日——19日後のことでした。

これについてTuxCareは「オープンソースの『多くの目』モデルは、バグが複数のファイル・複数のディレクティブ・複数のランタイム状態をまたいで推論する必要がある場合に限界がある。AIによるコードベース分析がそのギャップを埋め始めている」と述べており、今後も同様の「何十年も潜伏していたバグ」が相次いで発見される可能性を示唆しています。

F5はVulnerability Advisory（K000161019）において「reliable code execution requires ASLR to be disabled」と警告しており、Microsoftの脅威インテリジェンスチームもパッチ適用を推奨しています。

参考情報

• nginx security advisories（nginx.org公式）
• F5 Security Advisory K000161019（F5 公式アドバイザリ）
• NGINX Rift: Achieving NGINX RCE via an 18-Year-Old Vulnerability（depthfirst、2026年5月13日）
• RCE Proof of Concept for CVE-2026-42945（DepthFirstDisclosures/Nginx-Rift、GitHub）
• NGINX Rift (CVE-2026-42945) Patches Released（AlmaLinux公式ブログ、2026年5月13日）
• NGINX Rewrite Module Flaw CVE-2026-42945（Orca Security）
• CVE-2026-42945 Detail（NVD）
• 【関連記事】サイバー攻撃とは——定義・種類・対策を専門家が解説【2026年最新】
• 【関連記事】2025〜2026年 サイバー攻撃・情報漏洩の最新事例まとめ

関連記事

nginxの脆弱性 NGINX Rift（CVE-2026-42945）が公開3日でサイバー攻撃に悪用 マネックス証券 創業者 松本 大 氏、エプスタイン文書への名前記載について「やましいことは一点もない」 エプスタインの情報漏洩と関連する日本人のまとめ-エプスタイン文書では松本 大氏や伊藤 穰一氏、林 千晶氏のアテンド記録も 【インタビュー】auじぶん銀行が挑んだ「振込×AI」の挑戦 2025年版 ホテル・宿泊業を襲う不正アクセスやサイバー攻撃や個人情報漏洩の事例と対策 激化するイラン 中東紛争をRecorded Futureが解説-イラン政府とランサムウェアグループの連携や今後のシナリオ 日本生命、非弁行為で米 OpenAIを提訴-ChatGPTで訴状作成時にハルシネ―ションで架空の判例を提示 エプスタインへ情報漏洩したとして元駐米大使ピーター・マンデルソン氏がロンドンで逮捕-エプスタイン文書で nginxに深刻なバッファオーバーフロー 脆弱性(CVE-2026-27654)など

投稿者：三村

セキュリティ製品を手がける上場企業にて、SOC（セキュリティオペレーションセンター）運営およびWebアプリケーション脆弱性診断の営業に8年間従事。その後、システムエンジニアへ転身し、MDMや人事系SaaSの開発に携わる。
8年の実務経験と開発者としての知見を活かし、「セキュリティ対策Lab」ではダークウェブ調査、セキュリティインシデントの分析、および高度なセキュリティ対策解説の執筆・編集を統括しています。
LinkedIn(外部サイト)