Nginx最新の脆弱性の確認方法とアップグレードの推奨事項

针对 **CVE-2026-42945** の脆弱性について、以下は現在のネットワークセキュリティ情報および Nginx 公式アナウンスに基づいた調査と推奨事項です。

------

## 1. 脆弱性の核心詳細：CVE-2026-42945

この脆弱性は主に、Nginx が特定の **HTTP/3 (QUIC)** パケットを処理する際の **バッファオーバーフロー** または **メモリ破損** の問題に関連しています。

- **影響範囲：** 主に `ngx_http_v3_module` モジュールを有効にしている Nginx バージョン。
- **危険レベル：** **高 (High)**。リモート攻撃者がこの脆弱性を悪用し、サービスクラッシュ（DoS）や特定条件下での任意コード実行を引き起こす可能性があります。
- **影響を受けるバージョン：** Nginx 1.25.x ～ 1.27.x（メインラインブランチ）、および HTTP/3 を統合した一部の 1.24 安定版パッチ。
- **修正バージョン：** **Nginx 1.31.0+** または公式の旧バージョン向けセキュリティパッチ。

------

## 2. 自分の設定が影響を受けるかどうかを確認する方法

すべての Nginx サーバーがこの脆弱性の影響を受けるわけではありません。以下の 3 つの手順で素早く確認できます。

### 手順 1：Nginx バージョンを確認する

次のコマンドを実行します。

```Bash
nginx -v
```

バージョンが **1.31.0 未満** の場合は「潜在的なリスク範囲」に該当します。

### 手順 2：HTTP/3 モジュールがコンパイルされているか確認する

この脆弱性は HTTP/3 モジュールに依存します。次のコマンドを実行します。

```Bash
nginx -V 2>&1 | grep --color "with-http_v3_module"
```

- **出力がない場合：** Nginx で HTTP/3 サポートが有効になっていないため、**この脆弱性の影響を受けません**。
- **出力がある場合：** 攻撃対象となるモジュールが存在するため、次の手順に進んでください。

### 手順 3：設定ファイルで `listen ... quic` が有効になっているか確認する

モジュールがコンパイルされていても、設定で QUIC リスンが有効になっていなければ脆弱性はトリガーされません。`nginx.conf` または `sites-enabled/` 以下のファイルを確認します。

```Bash
grep -r "quic" /etc/nginx/
```

- **該当例：** `listen 443 quic reuseport;`
- **結果の判断：** 設定ファイルに `quic` という文字列が存在し、かつバージョンが 1.31 未満の場合、サーバーは**極めて危険**な状態であり、直ちに対処する必要があります。

------

## 3. QUIC を有効にしていない場合でも、アップデートは必要か？

**答え：アップデートは推奨されますが、強制的な緊急性はありません。**

- **セキュリティ原則：** 現在の設定が CVE-2026-42945 をトリガーしない可能性があっても、新しいバージョン（例：1.31）には通常、他の細かなセキュリティ修正やパフォーマンスの最適化が含まれています。
- **予防策：** 将来、自分または同僚が設定で HTTP/3 を有効にした際にバージョンの脆弱性を忘れていると、サーバーが直接リスクにさらされる可能性があります。
- **Nginx Proxy Manager ユーザー：** NPM がデフォルトで統合している Nginx 環境は複雑なため、イメージのアップデートを強く推奨します。イメージを更新することで、基盤となる依存ライブラリの脆弱性も同時に修正されます。

------

## 4. 修正方法

### 方法 A：直接 1.31.0+ にアップグレードする

**Nginx 公式 PPA (Mainline)** を使用したアップグレードを推奨します。

```Bash
sudo add-apt-repository ppa:nginx/mainline
sudo apt update
sudo apt install nginx
```

### 方法 B：一時的な緩和策（アップグレードが困難な場合）

現在すぐに本番環境を再起動またはアップグレードできない場合は、一時的に **HTTP/3 を無効化** します。

1. 設定ファイル内のすべての `listen ... quic` と、それに関連する `add_header Alt-Svc` 行をコメントアウトします。
2. 設定を再読み込みします：`sudo nginx -s reload`。
3. ファイアウォールの **UDP 443** ポートを閉じます（HTTP/3 は UDP を使用します）。

**総合的な推奨事項：** まず `nginx -V` を実行してください。`with-http_v3_module` が表示されなければ、ひとまず安心できます。表示された場合は、必ず今夜中に 1.31 バージョンへのアップグレードを完了してください。