nginxの脆弱性情報

nginx — CVE-2026-109326

公開フォルダの奥にある.gitディレクトリを十分に防げておらず、外部から参照できる場合があります。未認証の攻撃者が、Gitの履歴や設定情報を取得できるおそれがあります。

2.1.7 へアップデートしてください。公開ディレクトリ配下に.gitが置かれていないか確認し、不要...

nginx — CVE-2026-107813

Nginx UIで、ログイン済みの利用者でも本来必要な追加確認なしに、一部の管理操作ができてしまう問題があります。盗まれたセッション情報があると、ノード操作や再起動まで行われるおそれがあります。

version 2.5.0 へ更新してください。OTPやパスキーを使っている場合も、セッション管理とログイ...

nginx — CVE-2026-107807

Nginx UIで、ノード認証に使う秘密情報をURL経由で受け取れるため、ログや履歴に残ってしまう問題があります。取得された秘密情報を使うと、管理者権限を不正に使われるおそれがあります。

version 2.5.0 へ更新してください。URLに秘密情報を載せない運用に改め、ログや履歴に残ってい...

nginx — CVE-2026-107811

Nginx UIで、通常の利用者がノード用の秘密情報を取得できてしまう問題があります。その情報を使うと、別のノードになりすまして管理操作ができるおそれがあります。

version 2.5.0 へ更新してください。ノード情報の閲覧権限を見直し、不要な利用者には管理画面を...

nginx — CVE-2026-107808

Nginx UIで、パスキーだけのアカウントが本来必要な確認を受けずにログインできてしまう問題があります。パスワードを知られてしまうと、追加認証なしで管理画面に入られるおそれがあります。

version 2.5.0 へ更新してください。パスワードだけに頼らず、認証設定が正しく有効かを確認しま...

nginx — CVE-2026-107810

Nginx UIのバックアップ復元処理で、リンク先をたどって本番の設定ファイルを書き換えられる問題があります。認証済みの利用者が細工したバックアップを使うと、意図しない設定が残る可能性があります。

version 2.5.0 へ更新してください。バックアップ復元を行う権限を見直し、信頼できないバックア...

nginx — CVE-2026-107809

Nginx UIで、ログイン中の管理者のブラウザをだまして操作させる対策が不十分です。外部サイトから設定変更などのリクエストを送らされるおそれがあります。

version 2.5.0 へ更新してください。管理画面ではCSRF対策やOrigin確認の有無を点検し、OTPやPas...

nginx — CVE-2026-107812

Nginx UIの自動更新機能で、ダウンロードしたファイルの確認方法が弱く、不正な実行ファイルを受け入れるおそれがあります。更新元が改ざんされると、悪意あるコードが動く可能性があります。

version 2.5.0 へ更新してください。更新元の管理を見直し、見知らぬネットワークや不審なミラー...

nginx — CVE-2026-107805

APIに届くデータの確認より先に、一時ファイルへ書き込む処理が走るため、悪意ある通信でサーバー資源を消費されることがあります。認証は突破されませんが、処理の遅延や停止につながります。

2.6.0へ更新してください。外部からAPIに不要に触れられないよう、アクセス制限も見直してくださ...

nginx — CVE-2026-107333

URLの見え方の違いを利用すると、認証済みユーザーが本来制限される機能に入れてしまう場合があります。ファイル操作や管理機能など、複数の保護対象に影響します。

RBACの判定方法を修正し、nginxの実際の経路と一致させてください。外部向けに公開している場合...

nginx — CVE-2026-102335

管理者でない利用者でも、nginxの設定を自由に書き込める問題です。細工された設定で、ファイル公開や転送先の変更ができてしまいます。

Nginx Proxy Manager 2.16.0 以前を使っているなら、更新版へのアップデートを確認してください...

nginx — CVE-2026-61629

nginx-ignitionのAPIサーバーで、細工したリクエストを受けるとCPUを大量に使ってしまう問題です。ログイン前でも起きるため、外部から繰り返し送られるとサーバーが重くなります。

2.40.1 へ更新してください。公開前の環境なら、外部から直接触れないよう制限し、保守会社にも...

nginx — CVE-2026-61628

nginx-ignitionの初期設定中に、認証なしで管理者ユーザーを作れてしまう問題です。条件がそろうと、外部の攻撃者が自分の管理者アカウントを作成できます。

2.41.1 へ更新してください。まだ初期設定前の環境は、外部公開せずにセットアップを終えること...

nginx — CVE-2026-55149

Vouch Proxyで、細工したCookie名を受け取ると大量のメモリを確保しようとして止まる問題です。認証前に起きるため、ログインしていなくても攻撃できます。

Vouch Proxyを0.48.0へ更新してください。公開中の認証入口を保守会社に確認し、更新まで不審な...

nginx — CVE-2026-85596

Kubernetes の Ingress 設定の扱いに不備があり、クライアント証明書による確認が外れてしまうことがあります。条件がそろうと、認証必須の通信でも通ってしまうおそれがあります。

v3.7.11 へ更新してください。証明書認証を使っている環境では、設定の重複や同名ホストの有無も...

nginx — CVE-2026-78222

NGINX JavaScriptで、壊れたHTTP応答を受けるとワーカーが落ちる不具合があります。外部の応答を扱う設定では、サイト停止につながることがあります。

NGINX JavaScriptの更新版を適用してください。外部HTTP応答を扱う設定がある場合は、保守会社に...