NGINX、5件の脆弱性を修正―HTTP/3や特定設定で影響
OSS版の修正版は1.30.6と1.31.7。HTTP/3のリクエスト処理や、ファイルパス・変数の評価などに修正が入りました。
修正版の公開日：2026-10-14 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
NGINXは2026年10月14日、5件の脆弱性を修正したOSS版1.30.6と1.31.7を公開しました。19日にはフランスのCERT-FRも関連するF5製品の注意情報を出しています。今回紹介する修正は、20日に新しく公開されたものではありません。
HTTP/3では、未認識のフレームの一部をリクエスト本文として処理し、本文サイズ制限の回避や転送先へのデータ混入につながる問題が修正されました（CVE-2026-95101）。TLSセッションチケットの鍵を切り替える構成で、セッションの偽造につながり得る問題も対象です（CVE-2026-97629）。
ほかに、aliasとrewriteを組み合わせたファイルパス処理、変数を含む式の評価で起きるバッファオーバーフローと、非同期ファイル入出力・SSIの特定構成で起きる解放済みメモリの参照を修正しています。いずれも利用機能や設定を確認する必要があり、全環境で同じ条件が成立するわけではありません。
公式一覧では、今回の5件について1.30.6以降と1.31.7以降を影響のない版として掲載しています。NGINX Plusなどの別製品は修正版が異なるため、利用中の製品に対応する提供元の案内を確認してください。
出典と編集について
NGINX／CERT-FR：NGINX：セキュリティアドバイザリ一覧 ↗本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。