15年潜んだnginxの欠陥に$10の値札——変わらないものに手術が入った日

Tue, 21 Jul 2026 00:00:00 +0900

はじめに

15年動き続けてきたnginxのコードに CVSS9.2 の欠陥が見つかり、長年使われてきたDNSリゾルバが載せ替えられ、無料で試せていたGitHubの機能に$10の値札がついた——今日はそんな一日だった。「長く変わらなかったもの」に、同じ日にまとめて手が入ったニュースを5本紹介する。

1. CVE-2026-42533——nginx全世代を貫くヒープ破壊、CVSS9.2

まずは今日いちばん手を止めてほしい話から。ウェブサーバーnginxに、2011年3月から実に15年ものあいだ潜んでいたヒープバッファオーバーフロー CVE-2026-42533 が公開された。深刻度はNVDの掲載によればCVSS4.0で 9.2(CRITICAL) 、CVSS3.1でも8.1(HIGH)と両バージョンのスコアが併記されている。原因はnginxのセキュリティアドバイザリによれば、map ディレクティブで正規表現のキャプチャグループを使う設定で、変数展開の「2パス方式」における状態の保存・復元漏れだ。第1パスで計測した長さと第2パスの書き込みがズレ、ヒープを踏み越えたり、逆に未初期化領域がそのまま漏れたりする。

正直に言うと、この記事を書きながら自分が管理してる検証サーバーで nginx -v を叩いてみたら、案の定バージョンを2年近く上げていなかった。人のことを言えた義理ではない。研究者Stan Shawは、The Cyber Expressの報道によれば、Ubuntu 24.04のデフォルト構成で通常のGETリクエスト1本からヒープ上のアドレスを回収できることを実証し、ASLR有効環境でも 10回中10回のRCE成功 を報告している。この数字にはさすがにぞっとした。認証は不要だ。ベンダーのF5は公式アドバイザリで「ASLRが無効または回避可能な環境でのRCE」と条件付きで表現しているが、Stan Shaw側は「この脆弱性自体がASLRバイパスを供給する仕組みだから実際の危険度はもっと高い」と反論しており、ここは両論併記しておきたい。

対象はNGINX Open Source 0.9.6〜1.31.2、NGINX Plus R33〜37.0.2.1と広範囲。修正版はnginxの変更履歴によれば1.30.4/1.31.3、NGINX Plusは37.0.3.1だ。PoCは2026年8月5日ごろ公開予定とされ、まだ出ていない。自分の map 設定に当該パターンがないか、今すぐ確認しておきたい(そして自分も今日中にアップデートする)。

2. Firefox 153——Linux×NVIDIAの宿願、Vulkan Videoデコードが公式対応

強い緊張の話のあとは少し前向きなニュースへ。2026年7月21日リリースのFirefox 153が、Linux上のNVIDIA GPU向け Vulkan Videoデコード を初めて実装した。長年FirefoxはLinux上のNVIDIA環境でハードウェアビデオデコードを無効化しており、動画再生はCPU任せでファンが回りっぱなしという状況が続いていた。Linuxユーザーなら「またNVIDIAだけ後回しか」とぼやいた経験、一度はあるはずだ。それがようやく公式の解を得た。

実装の中身は、Mozillaのバグトラッカーによれば、FFmpeg 6.1.1以降が備えるVulkan Videoデコードパスを、FirefoxのFFmpegVideoDecoderから呼び出すというもの。主要実装者はNVIDIAのエンジニアTymur Boikoで、レビューはRed HatのエンジニアMartin Stránskýが担当しており、GPUベンダー自身がブラウザ本体にパッチを送るクロスベンダー協力の一例になっている。現時点では既定オフで、NVIDIAドライバー595.x以降とabout:configでの2フラグ(media.hardware-video-decoding-vulkan.enabled / media.hardware-video-decoding-vulkan.direct-export.enabled)有効化が必要だ(余談だが筆者の手元機材はIntel内蔵GPUなので、これは残念ながら試せない)。

正直に書いておくと、OMG! Ubuntuの報道ではデュアルGPU構成のノートPCでワークスペース切り替え時にスタッターが出る報告もあり、既定オフなのはそうした未成熟さもあってのことだ。手放しで全員に勧める段階ではないが、nvidia-vaapi-driverという壊れやすいワークアラウンドへの依存が要らなくなる意義は大きい。

3. IPFire 2.29 Core Update 203——DNSの心臓をUnboundからKnot Resolverへ

ここが今日の谷、いちばん地味な話。ファイアウォール専用ディストリビューションIPFireが、2026年7月20日公開のCore Update 203で、DNSリゾルバを長年使ってきたUnboundからKnot Resolverへ全面移行した。公式ブログは「Unboundは長年IPFireによく尽くしてくれた」としつつ、より深く統合できるモジュラーなアーキテクチャを求めてKnot Resolverへの切り替えに踏み切ったと説明している。DNSリゾルバはファイアウォールにとって単なる名前解決の道具ではなく「どこへ繋がせるか」を決める場所でもあり、地味に見えて実は大手術だ。個人的には、こういう地道な土台の入れ替え作業が異常に好きだ。派手さはゼロだが、効いてくるのはたぶんここだと思っている。

これにより、公式ブログによれば DNS over TLS上流転送 、悪意あるドメインをリゾルバ段階でブロックする DNSファイアウォール 、DHCPホスト名解決、再起動をまたぐ永続キャッシュが新たに使えるようになった。あわせてWi-Fi 6GHz帯サポートも追加されている。

ここは正直に書いておくと、今回の素材の範囲では移行に伴う設定互換性の細部や、Unbound設定の自動引き継ぎの有無、性能の定量比較といった数値は取得できていない。Core Update適用前にリリースノートを読み、設定のバックアップを取ってから進めるのが安全だろう。

4. GitHub Code Quality GA——AIコードレビューと品質ゲート、$10/人の「有料化」

谷を抜けて、身近で議論を呼ぶ話へ。GitHub Code Qualityが2026年7月20日に一般提供(GA)へ移行した。パブリックプレビュー段階で1万社超が触ってきたAIコードレビュー・品質ゲート機能が、正式版になると同時に有料化された。課金は3層構造で、GitHubの課金体系ドキュメントによれば月額 $10/アクティブコミッター (ライセンス料)＋AI使用量＋GitHub Actions実行時間。対象はGitHub Enterprise CloudとGitHub Teamで、オンプレミスのGitHub Enterprise Serverは対象外だ。

目玉のCopilot Autofixは、PRのインラインコメントに自動修正提案を差し込む機能で、GitHub Community Discussionsのユーザー投稿には「単純な問題(未使用importやnullチェックなど)の約70%で良好に機能する」という声もある。他の静的解析SaaSでは、たとえば競合のSonarCloudが小規模プライベートチーム向けに月$75〜150程度と報じられており、これを踏まえると100人規模の組織なら基本ライセンスだけで年$12,000という価格感には、コミュニティでも議論が起きている。パブリックプレビュー中に有効化したまま放置している組織は、7月20日以降、追加操作なしで自動的に課金が始まると報じられており、この点も見落としやすい。

1万社が無料で試して開発フローに組み込んだところへ$10の値札がついた、というのが今日の話の中でも一番「無料の終わり」を生々しく感じさせる一件だと思う。皆さんの会社なら、この価格感、払う派ですか、それとも様子見派ですか。

5. Linux 7.2-rc4——MongoDB最大100%高速化とZen 5向けスケジューラ改善、strncpyは永久追放

締めは、いちばん土台に近くて、いちばん未来につながる話。2026年7月19日に公開されたLinux 7.2-rc4では、MGLRU(Multi-Gen LRU)の改善によりベンチマークでMongoDBのスループットが最大100%——つまり2倍——向上したと報じられている。あわせて、キャッシュ認識スケジューリング(Cache-Aware Scheduling)がAMD Zen 5環境でPostgreSQL・Valkey・ネットワークワークロードに意味のある性能向上をもたらしたほか、Btrfsではlarge foliosがデフォルトで有効化され、AMDGPUではHDMI 2.1のFRL初期サポートが入った。カーネルコードは4,300万行を超えた。

個人的にいちばん味わい深いのは、C言語の古典的な文字列コピー関数 strncpy がカーネルソースから完全に姿を消したという一点だ。strncpyはコピー先が切り詰められたときに終端のNULを保証しないなど誤用しやすく、バッファ関連バグの温床として長く知られてきた。カーネル開発者たちは数年がかりでより安全な代替への置き換えを進め、この7.2サイクルでついに1つ残らず消し去った。地味に感動した。これは今日冒頭のnginxの脆弱性とも無関係ではなく、C由来のメモリ安全性の脆さを、片方は事故として抱え、もう片方は予防として断ち切っている、そんな一日だった。

まとめ

今日の5本を通して感じたのは、「長く当たり前だったものが、その足元を問われる」一日だったということだ。15年潜んだnginxの欠陥、長年頼ったIPFireのDNSリゾルバ、無料が当たり前だったGitHubの機能——どれも「変わらないこと」の価値とコストが同時に可視化された日だったように思う。皆さんの環境、nginxのバージョンは今すぐ確認できていますか。

参考リンク

nginx公式セキュリティアドバイザリ: https://nginx.org/en/security_advisories.html
Firefox 153 公式リリースノート: https://www.mozilla.org/en-US/firefox/153.0/releasenotes/
IPFire公式ブログ(Core Update 203リリース告知): https://www.ipfire.org/blog/ipfire-2-29-core-update-203-released
GitHub Changelog(GA告知): https://github.blog/changelog/2026-06-16-github-code-quality-generally-available-july-20-2026/
The Linux Kernel Archives: https://www.kernel.org/

Linuxカーネル on 思いつきそうで思いつかなくていたときに