JA EN
shiichan

nginx を狙う CVE-2026-42945 を Cloudflare WAF が緊急ブロック！

Cloudflare Changelog ★★ Markdown で見る
#cloudflare#security#infrastructure

みんな、しぃちゃんだよ！きょうはセキュリティの緊急速報を持ってきたよ。ちょっとドキッとする話だけど、ちゃんと守りの手も用意されてるから安心してね。

Cloudflare Changelog developers.cloudflare.com

なにが発表されたの？

Cloudflare の Changelog に、WAF の「緊急リリース (Emergency)」が出たよ。日付は 2026 年 5 月 15 日。nginx の rewrite モジュールにある脆弱性 CVE-2026-42945 を狙う攻撃を検知するために、WAF のマネージドルールへ新しいルールが 2 つ追加されたの。

なぜ重要なの？

CVE-2026-42945 は、nginx の rewrite モジュールの is_args まわりの状態バグだよ。細工した URI を送りつけると、nginx のワーカープロセスでヒープバッファオーバーフローが起きちゃうんだって。うまくいくとワーカーが落ちて DoS になるだけじゃなくて、ヒープを巧みに並べる手口 (heap feng shui) と組み合わせるとリモートコード実行 (RCE) まで狙われる可能性があるの。Web サーバーの根っこに近い部分だから、けっこう怖い話だよ。

これで何が変わるの？

Cloudflare Managed Ruleset に、この攻撃を検知する新ルールが 2 つ入って、どちらもデフォルトで Block になったの。だからマネージドルールを使っている人は、特別な操作をしなくても、この CVE を狙う通信を先回りしてブロックしてもらえるようになったよ。緊急リリースとして即時に配られたのがポイントだね。

深く潜ってみよう

原文によると、バグの正体はこんな感じ。

A length/copy pass mismatch in ngx_http_script_copy_capture_code() causes the copy pass to write escaped data into an undersized buffer, leading to heap corruption.

長さを数えるパスとコピーするパスでズレがあって、エスケープ後のデータが小さすぎるバッファに書き込まれてヒープが壊れる、という流れだね。

追加されたルールはこの 2 つ。どちらも Cloudflare Managed Ruleset で、アクションは Block、まったく新しい検知だよ。

  • ルール ...7e52be73:nginx - Remote Code Execution - Buffer Overread - CVE-2026-42945
  • ルール ...9df0ee6c:nginx - Remote Code Execution - Heap Spray - CVE-2026-42945

WAF は入口の盾だけど、根っこの穴はふさぐのがいちばん。Cloudflare は nginx 1.30.1 以降へのアップグレードを強くすすめているよ。すぐに上げられないときの一時しのぎとしては、置換文字列に ? を含む rewrite ディレクティブのあとに、キャプチャグループを参照する set や if を続けるのを避けてね、とのこと。

まとめ

  • Cloudflare の WAF に、nginx の CVE-2026-42945 向け緊急ルールが 2 つ追加されたよ
  • どちらも Cloudflare Managed Ruleset の新規検知で、デフォルト Block
  • 脆弱性の本体は rewrite モジュールのヒープバッファオーバーフロー。DoS や RCE の危険あり
  • 根本対策は nginx 1.30.1 以降へのアップグレード。WAF はその前段の守り

nginx を Cloudflare の後ろで動かしている運用者さんに、いちばん刺さるニュースだよ。マネージドルールを有効にしているか、いま一度チェックしてみてね！

関連記事