過去の記事の日付: 2026-10-14 (開示およびセキュリティ リリース日)。出典はチェックされ、2026-10-27 を通じて情報が補足されました。

出来事と影響

NGINX は、2026-10-14 上で Stable 1.30.6 および Mainline 1.31.7 をリリースし、5 つの主要な脆弱性を修正しました: CVE-2026-15176、CVE-2026-93479、CVE-2026-97205、 CVE-2026-95101 および CVE-2026-97629。これらは、パス マッピング、変数評価、非同期ファイル操作、HTTP/3 リクエスト本文、および TLS セッション チケットに影響します。露出は設定によって異なります。すべての NGINX 展開がリモート コード実行に対して脆弱であるわけではありません。

優先行動

  1. アップストリーム パッケージの場合は、別の Stable 1.30.6 または Mainline 1.31.7 パッチ ベースラインを満たします。 Mainline 1.31.8 は、後の検証日に利用可能になりました。配布パッケージと NGINX Plus については、ベンダーのブランチと完全なパッケージのバージョンを確認してください。
  2. alias、rewrite、map、SSI/AIO、HTTP/3、および共有 TLS セッション キャッシュに関係する組み合わせを監査します。クライアント証明書認証を使用して、パブリック エンドポイントとサービスを優先します。
  3. 構成を検証し、古いインスタンスごとに再起動または置き換えをロールアウトします。通常の構成のリロードでは、ライブ バイナリが更新されたことは証明されません。

検証とフォローアップ

実際のエンドポイントが固定パッケージまたはイメージを使用していることを確認し、プロキシされたアップロード、リクエスト本文の制限、ルーティング、およびクライアント証明書の認証をテストします。 WAF、ASLR、および一時的な構成変更ではパッチを置き換えることはできません。あるディストリビューションの修正ステータスが別のディストリビューションに適用されると想定することはできません。

この記事は 10 月 14 日のイベント日にアーカイブされており、その後の情報も含まれています。 影響を受ける構成、ブランチ固有の修正、パッチ メカニズム、一時的な緩和策、公式ソースについては、NGINX 脆弱性および修復ガイドの完全版 をお読みください。