nginx CVE-2026-42945（NGINX Rift）への対策と運用上の注意

CVE-2026-42945（NGINX Rift）は、ngx_http_rewrite_module の ヒープバッファオーバーフローです。NGINX Open Source は 1.30.1 または 1.31.0 以降へ更新してください。 設定変更やアクセス制限は補助策であり、更新の代替ではありません。

影響を受ける条件

影響を受けるのは、無名の PCRE キャプチャ（$1、$2 など）を使う rewrite と、その直後の rewrite、if、または set の組み合わせで、置換文字列に ? を含む構成です。 無名キャプチャを使っているだけで直ちに発火するわけではないため、設定とバージョンの両方を確認します。

影響とASLRについて

細工されたHTTPリクエストによりNGINXワーカープロセスが再起動する可能性があります。 コード実行はASLRが無効な環境、または攻撃者がASLRを回避できる追加条件下で問題になります。 本記事では、公開一次情報で確認できない別個の「ASLRバイパスRCE」を独立した脆弱性としては扱いません。

優先する対応

1. NGINX Open Sourceを1.30.1または1.31.0以降、NGINX Plusはベンダーの修正済みリリースへ更新する。
2. 更新後に有効なバージョンとngx_http_rewrite_moduleの設定を確認する。
3. 長大URIや異常な連続リクエストの監視・レート制限を補助策として維持する。
4. ログを確認し、異常なワーカー再起動がないことを監視する。

出典・最終確認

最終確認日: 2026年7月22日。NGINX公式リリース情報、 NVDのCVE-2026-42945記録を一次情報として確認しました。