Apache Traffic Server regex_remap のスタックオーバーフロー（CVSS 9.8）

情報取得日: 2026/07/29／最終確認: 2026/08/01・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-58179
製品	Apache Software Foundation / Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3
CVSS	9.8（Critical） CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-121（スタックベースのバッファオーバーフロー）
登録／公開日	2026/07/29
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-58179

概要

Apache Traffic Server はリバースプロキシ・キャッシュサーバとして使われるソフトウェアで、CDN の前段や社内の共有キャッシュとして配置されることが多い。regex_remap はその標準プラグインの一つで、正規表現でリクエスト URL を書き換える。この欠陥は、regex_remap が置換の入力からスタックと整数をオーバーフローさせる点にある。CWE-121（スタックベースのバッファオーバーフロー）に分類され、置換処理に渡される入力の長さが想定を超えたときに、確保した領域の外へ書き込みが起きる。整数側のオーバーフローも併発するため、境界チェックそのものが素通りする経路がある。 NVD の CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）である。ネットワーク越しに、認証も利用者の操作もなく成立し、機密性・完全性・可用性のすべてに高い影響がある。 2026年8月1日時点で CISA KEV カタログには収載されていない。ただし Traffic Server は境界に置かれる性質上、外部から直接リクエストを受ける位置にあることが多く、到達性は高いと考えるべきである。影響を受けるのは 8.0.0 から 8.1.9 まで、9.0.0 から 9.2.14 まで、10.0.0 から 10.1.3 までである。修正版は 9.2.15 および 10.1.4。8 系については NVD の版レンジ上限が 8.1.9 であり、8 系の修正版は示されていない。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: ベンダーFW更新参照先も共通です（一次情報）。下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	ベンダーFW更新	EC2 / ECS / EKS 上で Traffic Server を自前運用している場合、AWS 側に修正は無い。Apache が提供する 9.2.15 または 10.1.4 へ更新する。CloudFront など AWS のマネージド CDN を使っている場合は Traffic Server ではないため対象外。セキュリティグループで待ち受けポートへの到達元を絞る。境界に置いている構成では絞りようがないため、更新を優先する。参照リンク
GCP	ベンダーFW更新	GCE / GKE 上で運用している場合も、Apache の修正版（9.2.15 または 10.1.4）へ更新する。GCP 側の修正は存在しない。 Cloud Armor を前段に置いている場合、極端に長い URL を弾くルールが一時的な緩和になりうる。正常な配信を巻き込まないか検証してから適用する。参照リンク
Azure	ベンダーFW更新	Azure VM / AKS 上で運用している場合も、Apache の修正版へ更新する。Azure 側の修正は存在しない。 Application Gateway の WAF を前段に置いている場合は、リクエスト長の制限が一時的な緩和になりうる。参照リンク
Linux	ベンダーFW更新	ディストリビューションのパッケージで導入している場合は、各ディストリビューションが 9.2.15 / 10.1.4 相当の修正を取り込んでいるかを確認する。取り込まれていなければ Apache の配布物へ切り替えるか、取り込みを待つあいだ regex_remap を無効化する。稼働中の版は `traffic_server --version` で確認する。 8 系は NVD の版レンジに修正版が示されていない。8 系を運用しているなら 9.2.15 以降への移行を計画する。参照リンク

解決の方向性（パッチ／回避策／代替）

まず regex_remap プラグインを実際に使っているかを切り分ける。remap.config に regex_remap.so の記述があるかを確認し、使っていなければ影響は限定される。使っている場合は 9.2.15 または 10.1.4 へ更新する。 8 系（8.0.0〜8.1.9）を使っている場合は注意が要る。NVD の版レンジには 8 系の修正版が示されていないため、本記事では 8 系の修正版を提示できない。8 系を運用しているなら、9.2.15 以降へ系列を上げる移行を計画するのが現実的である。移行にはプラグイン互換性の確認が要るため、検証環境で先に通すこと。即時更新できない場合の緩和は、regex_remap を使う remap ルールを一時的に外すか、置換対象になる経路を前段で絞ることに限られる。ベクタが AV:N/PR:N/UI:N なので、認証を前提にした緩和は成立しない。regex_remap を外すと URL 書き換えに依存した配信が止まるため、どのルールが何を書き換えているかを先に洗い出す。検知については、公開された IoC は確認できない。バッファオーバーフローの型なので、traffic_server プロセスの異常終了・再起動、コアダンプの生成、想定外の子プロセスが見えないかを確認する。アクセスログ側では、regex_remap の対象パスに対する極端に長い URL やクエリ文字列が無いかを見る。

よくある質問（CVE-2026-58179）

CVE-2026-58179（Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3）の影響は？

Critical（CVSS 9.8）に分類されるApache Software Foundation Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3の脆弱性です。Apache Traffic Server はリバースプロキシ・キャッシュサーバとして使われるソフトウェアで、CDN の前段や社内の共有キャッシュとして配置されることが多い。regex_remap はその標準プラグインの一つで、正規表現でリクエスト URL を書き換える。この欠陥は、regex_remap が置換の入力からスタックと整数をオーバーフローさせる点にある。CWE-121（スタックベースのバッファオーバーフロー）に分類され、置換処理に渡される入力の長さが想定を超えたときに、確保した領域の外へ書き込みが起きる。整数側のオーバーフローも併発するため、境界チェックそのものが素通りする経路がある。 NVD の CVSS 3.1 基本値は 9.8（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H）である。ネットワーク越しに、認証も利用者の操作もなく成立し、機密性・完全性・可用性のすべてに高い影響がある。 2026年8月1日時点で CISA KEV カタログには収載されていない。ただし Traffic Server は境界に置かれる性質上、外部から直接リクエストを受ける位置にあることが多く、到達性は高いと考えるべきである。影響を受けるのは 8.0.0 から 8.1.9 まで、9.0.0 から 9.2.14 まで、10.0.0 から 10.1.3 までである。修正版は 9.2.15 および 10.1.4。8 系については NVD の版レンジ上限が 8.1.9 であり、8 系の修正版は示されていない。

CVE-2026-58179 の対応方法・回避策は？

自分の環境が CVE-2026-58179 の影響を受けるか確認するには？

Apache Software Foundation Apache Traffic Server 8.0.0〜8.1.9 / 9.0.0〜9.2.14 / 10.0.0〜10.1.3 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-58179）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。