F5は現地時間10月14日、ウェブサーバソフト「nginx」とその関連製品について、定例外のセキュリティアドバイザリを公表した。対象は合わせて11件で、このうちnginx本体の3件について、F5はCVSS v4.0のベーススコアを9.2（クリティカル）と評価している。修正版はオープンソース版の1.31.7と1.30.6。公表時点で、公開された攻撃コードや実際の悪用は確認されていない。
脆弱性の詳細
公表された11件は、nginx本体の5件と、njs（NGINX JavaScript）、NGINX Gateway Fabric、NGINX Ingress Controllerといった関連製品の6件。想定される影響には、サービス運用妨害（DoS）、コードの実行、認証の回避、情報の漏えいが挙げられている。
F5がクリティカルと評価した3件は次の通り。いずれも特定の設定のもとで、細工されたHTTPリクエストによってワーカープロセスのメモリ破損や停止を引き起こすおそれがある。
- CVE-2026-15176：
aliasとrewriteを組み合わせ、$request_filename変数を参照する設定でヒープバッファオーバーフローが起きる（F5 K000162416） - CVE-2026-93479：
mapディレクティブで正規表現マッチングを使う設定でヒープバッファオーバーフローが起きる（F5 K000162607） - CVE-2026-97205：非同期ファイルI/O（AIO）を有効にした特定の構成で、SSIページの処理中にuse-after-freeが起きる（F5 K000162608）
このほか本体では、TLSセッションチケット使用時のセッション偽造（CVE-2026-97629）、HTTP/3でのリクエストボディの挿入（CVE-2026-95101）も修正された。
なお、深刻度の評価は組織によって異なる。F5は上記3件をCVSS v4.0で9.2（v3.1では8.1）としているが、nginx.orgは本体の5件をいずれも「medium」と評価している。影響が出るのは特定の設定を使っている場合に限られるため、自社の設定ファイルを確認したうえで優先度を判断したい。
影響を受ける製品・バージョン
- nginx（オープンソース版）：1.31.7未満、1.30.6未満（脆弱性によって影響を受ける範囲は異なる）→ 修正版 1.31.7（mainline）、1.30.6（stable）
- NGINX Plus：R33〜R36、37.0.5.1未満、37.1.0.1未満 → 修正版 37.0.5.1、37.1.0.1
- 関連製品：NGINX JavaScript 1.0.2未満、NGINX Gateway Fabric 2.8.0未満、NGINX Ingress Controller 5.7.0未満、NGINX Instance Manager 2.24.0未満、F5 WAF for NGINX、F5 DoS for NGINXの一部バージョン
F5によると、BIG-IPやBIG-IQなど同社のほかの製品は影響を受けない。
推奨される対策
- 修正版へ更新する：オープンソース版は1.31.7または1.30.6以降へ、NGINX Plusや関連製品はF5のアドバイザリに記載された修正版へ更新する。Linuxディストリビューションのパッケージやコンテナイメージで導入している場合は、提供元の更新状況も確認する。
- すぐに更新できない場合の回避策：F5は、CVE-2026-97205には
aio off;またはssi off;、CVE-2026-93479には名前付きキャプチャの利用、CVE-2026-15176にはaliasの使用や$request_filenameの参照を避ける設定変更を案内している。 - 設定ファイルを確認する：
alias、mapと正規表現、aio、ssi、HTTP/3、TLSセッションチケットを使っているかを確認し、該当するサーバーから優先して対応する。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが行う外部攻撃面（ASM）の調査でも、公開サーバーのnginxが数年前のバージョンのまま動いている例は珍しくありません。特に、OSのパッケージやコンテナイメージに組み込まれたnginxは、アプリケーション側の担当者が更新の必要性に気づきにくく、放置されがちです。
【平易な解説】nginxは、多くのウェブサイトで「受付窓口」の役割を担うソフトウェアです。今回は、窓口の特定の手順（設定）を使っている場合に、細工した問い合わせで窓口を止めたり、誤作動させたりできる欠陥が見つかりました。すべてのサイトが危険というわけではありませんが、自社がその手順を使っているかどうかは確認が必要です。
【今週中にできること】まず、自社や委託先が運用するサーバーでnginx -vを実行し、バージョンを一覧にしてください。1.31.7・1.30.6より古いものは更新計画を立て、外部に公開しているサーバーから順に適用します。更新までに時間がかかる場合は、設定ファイルで上記の機能を使っていないかを確認し、F5の回避策の適用を検討しましょう。
参照: nginx security advisories ／ F5 K000162416（CVE-2026-15176） ／ カナダ・サイバーセキュリティセンター AV26-1049 ／ Security NEXT