Traefik の Ingress NGINX 互換プロバイダで mTLS が無効化される認証回避（3.7.15 で修正）

High（CVSS 8.7）に分類されるTraefik Labs Traefik Proxy v3.7.0-ea.1〜v3.7.14（Kubernetes Ingress NGINX プロバイダ使用時）の脆弱性です。**Traefik の Kubernetes Ingress NGINX プロバイダで、auth-tls-secret アノテーションで設定したクライアント証明書認証（mTLS）が、条件によって黙って外れる。** Traefik のアドバイザリ GHSA-p8wx-ph99-xgcr（2026年10月16日公開）によれば、同じホストに auth-tls の設定を持たない別の Ingress がパスを宣言していると、プロバイダが TLS オプションをホスト単位ではなく Ingress 単位で当てているため衝突が起き、Traefik は既定の TLS オプションに戻る。core.strictTLSOptions を有効にしていなければ既定のオプションはクライアント証明書を要求しないので、**証明書を持たない攻撃者が mTLS で守っていたバックエンドに届く**。 **対象。** v3.7.0-ea.1〜v3.7.14 で、auth-tls-secret 対応が入った 3.7 系だけが影響を受ける（Traefik v2 と v3.7.0 より前の v3 は対象外）。 **評価値。** CVSS 3.1 は VulnCheck（CNA）の **8.7 High**、Traefik 自身は CVSS 4.0 で 7.0 High。NVD は Awaiting Analysis。実際の悪用は 2026-11-02 時点で報告されておらず、CISA KEV にも未収載。

**Traefik を v3.7.15 以上へ上げる。** v3.7.15（2026年10月15日リリース）は本件を含む3件のアドバイザリを修正しており、リリースノートは移行ガイドの確認を求めている。 **影響を受けるか確認する。** （1）Ingress NGINX プロバイダを使っている、（2）nginx.ingress.kubernetes.io/auth-tls-secret で mTLS をかけている、（3）同じホストに auth-tls 設定の無い別 Ingress がある、の3つがそろうと該当する。アドバイザリに公式の回避策は無い。既定の TLS オプションに戻った場合でも core.strictTLSOptions を有効にしていれば証明書が要求される、という記述はあるが、回避策として案内されたものではないので、更新を基本とする。

Traefik Labs Traefik Proxy v3.7.0-ea.1〜v3.7.14（Kubernetes Ingress NGINX プロバイダ使用時） を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-119572）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。