Ubuntu、NGINXの修正を配布―上流の版番号だけで未対応と判断しない
Ubuntu 22.04 LTSから26.10までの修正パッケージが公開されました。OS配布元の版番号と照合し、更新後のプロセスとWeb応答まで確認します。
修正告知日：2026-10-26 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約3分
Canonicalは2026年10月26日、Webサーバーや中継サーバーとして使われるNGINXの修正をUbuntu向けに公開しました。対象は22.04 LTS、24.04 LTS、26.04 LTS、26.10です。Ubuntuから導入した場合は、NGINX本体の最新版番号ではなく配布パッケージの修正版と照合します。
設定によって停止や認証回避につながる
告知には、aliasと書き換え規則の組み合わせ、正規表現を使うmap、SSIと非同期ファイルI/Oなどの不備が含まれます。条件によって停止やコード実行につながる可能性があり、インストール済みというだけで全問題が成立するわけではありません。
HTTP/3関連の問題は26.04 LTSと26.10が対象です。また、共有セッションキャッシュを使い、チケット鍵の明示的なローテーションがない構成ではクライアント証明書検証を迂回される可能性があり、24.04 LTS以降が対象とされています。
Ubuntuの修正パッケージ番号と照合
修正版は22.04 LTSが1.18.0-6ubuntu14.22、24.04 LTSが1.24.0-2ubuntu7.19、26.04 LTSが1.28.3-2ubuntu1.12、26.10が1.30.4-7ubuntu1.1です。nginx-core、nginx-fullなども告知の対象に含まれます。
これらの番号が上流の新しい番号より小さくても、それだけで未修正とは判定できません。OS側が修正を取り込むため、ubuntu以降の番号まで比較します。独自ビルド、他社リポジトリ、コンテナ内の別配布版には、この修正版表をそのまま適用しません。
更新対象の確認からサービス反映まで
以下は編集部の手順です。OSのリリースと導入元を調べ、dpkg-queryやapt-cache policyで導入済み版・候補版を確認します。設定をバックアップし、利用中のNGINXパッケージを公式更新から適用してください。
設定検査のnginx -tが成功することを確かめ、保守手順に沿って新しいプロセスへ切り替えます。更新後はWeb応答とリバースプロキシ先、利用していればクライアント証明書認証も確認します。パッケージ更新だけで作業を終えず、稼働先への反映まで記録します。
出典と編集について
Canonical：USN-8955-1: nginx vulnerabilities ↗出典の報告と、編集部が提案する点検・対策を分けて記載しています。本記事の点検項目は個別環境の診断結果ではありません。