F5は、人気の高いウェブサーバー「NGINX」で発見された多数のセキュリティ脆弱性に対処するため、定例外（アウトオブバンド）の緊急セキュリティパッチをリリースしました。これには、特定の環境設定の下で、攻撃者が影響を受けたシステム上で悪意のあるコードを実行する可能性を与える、深刻度の高い3つの脆弱性が含まれています。
これら3つの重大な脆弱性は、ngx_http_v3_moduleモジュールに集中しており、コード（CVE-2026-15176）および（CVE-2026-97205）が付与されているほか、コード（CVE-2026-93479）の下でNGINX map directive（NGINXマップディレクティブ）の設定に関連するもう1つの脆弱性が存在します。テクニカルレポートの詳細によると、ネットワークアクセスを持つ権限のない攻撃者がこれらの脆弱性を悪用することで、サービス拒否（DoS）攻撃を実行したり、特にデフォルトではない構成を持つシステムやアドレス空間配置のランダム化（ASLR）バイパスなどの保護技術が無効になっているシステムにおいて、実行中のNGINXサーバープロセス内でコードの実行を達成したりする可能性があります。
影響を受ける製品と一時的な緩和策
これらの脆弱性の影響を受けるソフトウェアのリストには、NGINX Plus、NGINX Open Source、NGINX Ingress Controller、NGINX Gateway Fabric、およびNGINX Instance Managerなど、同社のいくつかの主要なバージョンと製品が含まれています。セキュリティチームやシステム管理者がすぐにソフトウェアアップデートを適用できない場合のために、同社はリスクを軽減するための一時的な代替手段を提供しています。
- CVE-2026-15176の脆弱性: ロケーションブロック内でのaliasディレクティブの使用を避けるか、$request_filename変数を排除することで軽減できます。
- CVE-2026-97205の脆弱性: 非同期ファイル入出力（AIO）またはサーバーサイドインクルード（SSI）機能を無効にすることで軽減されます。
- CVE-2026-93479の脆弱性: 無名キャプチャの代わりに名前付きキャプチャを使用し、その使用を正規表現（regex）マッチングブロックのみに限定することで回避できます。
組織にとって実質的に何が変わるのか？
現時点では実際のサイバー攻撃においてこれらの脆弱性が悪用されたアクティブな事例は観測されていませんが、NGINXサーバーおよび関連製品のアーキテクチャにより、近年では国家支援型のサイバー脅威グループやランサムウェアギャングの頻繁な標的となっています。過去の攻撃では、企業のネットワークへの標的型攻撃、デバイスへの侵入、機密データの窃取が行われてきました。