F5

サイバーセキュリティ企業のF5は、NGINX Webサーバーの複数の脆弱性に対処するため、アウトオブバンドのセキュリティアップデートを公開しました。これには、攻撃者が脆弱なシステム上でコードを実行できる可能性のある2つの「重大」レベルの脆弱性も含まれています。

これら2つの重大な脆弱性は、ngx_http_v3_module（CVE-2026-42530）およびngx_http_proxy_v2_moduleとngx_http_grpc_module（CVE-2026-42055）で発見されました。 これらは、認証されていないリモートの攻撃者によって悪用され、デフォルト設定以外の構成が適用されているNGINXシステムにおいて、サービス拒否（DoS）攻撃を引き起こしたり、コードを実行させたりする可能性があります。

攻撃が成功すると、NGINXのワーカープロセスでuse-after-freeまたはヒープベースのバッファオーバーフローが発生し、再起動に至ります。いずれの場合も、「アドレス空間配置ランダム化（ASLR）が無効になっているシステム、または攻撃者がASLRをバイパスできる場合」にコードを実行される可能性があります。

image

F5は、NGINX Plus、NGINX Open Source、NGINX Gateway Fabric、NGINX Instance Managerなど、これら2つの脆弱性の影響を受ける複数のNGINXソフトウェア製品向けにセキュリティ修正プログラムをリリースしました。

セキュリティ更新プログラムを直ちにインストールできない管理者は、HTTP/3を無効化することでCVE-2026-42530のリスクを軽減できます （すべてのlistenディレクティブからquicを削除する）ことでCVE-2026-42530への対策を講じ、設定からignore_invalid_headers offディレクティブを削除し、large_client_header_buffersディレクティブのサイズを2メガバイト未満に縮小することでCVE-2026-42055への対策を講じることができます。

同社はまた、CVE-2026-11311およびCVE-2026-50107として追跡されている、NGINX Gateway Fabric の 2 つの高深刻度のセキュリティ欠陥に対処しました。これらは、認証済みの攻撃者によって悪用され、任意の NGINX 設定ディレクティブを注入される可能性があります。

F5はこれらのセキュリティ問題を攻撃に悪用されたものとして特定していませんが、近年、F5の脆弱性はサイバー犯罪者や国家レベルの脅威グループの両方によって頻繁に悪用されてきました。

例えば、ハッカーたちはF5製品のセキュリティ脆弱性を標的とし、世界中の被害者から企業ネットワークへの侵入、データ消去型マルウェアの展開、内部サーバーのマッピング、デバイスの乗っ取り、機密文書の窃取を行ってきた。

また、F5は10月、国家の支援を受けた攻撃者が2025年8月に同社のシステムに侵入し、非公開のBIG-IPのセキュリティ脆弱性とソースコードを盗んだことを明らかにした。

過去数年間、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、7つのF5の脆弱性が現在も積極的に悪用されていると指摘しており、そのうち4つはランサムウェア攻撃の標的となっている。

F5はフォーチュン500にランクインするテクノロジー企業であり、世界中の23,000社以上の顧客（フォーチュン50企業のうち48社、フォーチュン・グローバル500企業の80％を含む）に、サイバーセキュリティ、アプリケーション配信ネットワーク（ADN）、およびその他のさまざまなサービスを提供している。