Traefik v3.7 の Kubernetes Ingress NGINX プロバイダで auth-tls-secret のクライアント証明書検証が無効化される（CVSS 9.8・v3.7.11 で修正）

Critical（CVSS 9.8）に分類されるTraefik Labs Traefik Proxy の Kubernetes Ingress NGINX プロバイダ。影響は v3.7.0〜v3.7.10 のみ。修正版は v3.7.11の脆弱性です。**ingress-nginx 互換のアノテーションで掛けたクライアント証明書認証が、条件次第で外れる。** NVD の説明によれば、Traefik v3.7 系の Kubernetes Ingress NGINX プロバイダは、`nginx.ingress.kubernetes.io/auth-tls-secret` アノテーションを持つ Ingress に対して、**Ingress の namespace と名前から TLS オプション名を作っていた**。 そのため、**同じホスト・同じクライアント CA シークレット・同じクライアント認証モード**を指す Ingress が2つあると、同じホストに対して**別名の TLS オプションが2つ**できる。Traefik はこれを TLS オプションの競合と見なし、エントリポイントの既定 TLS 設定へフォールバックする。既定はクライアント証明書を要求しないので、`nginx.ingress.kubernetes.io/auth-tls-verify-client: "on"` を付けたルートが**証明書なしで到達可能になる**。 **同じ保護を2つの Ingress に掛けたことが原因で保護が外れる**、という直感に反する挙動である。冗長化のつもりで同じ設定を複製した構成ほど当たりやすい。 **対象は v3.7 系だけである。** v3.7.0 から v3.7.10 までが影響を受け、**v3.7.11 で修正**された。v2 系と v3.6 以前は対象外。 **評価値はソースによって割れている。** NVD の CVSS 3.1 は **9.8 Critical**、ベンダーのアドバイザリ（GHSA-j994-9gqj-9hwq）は **8.2 High** を付けている。**本サイトの掲載値は NVD の 9.8 を採っている。** **KEV には 2026年9月21日時点で収載されていない。**

**v3.7.11 以降へ更新する。** 対象が v3.7 系に限られるので、v3.6 以前や v2 系で運用している場合はこの CVE の対応は不要である（ただし同時に公開された CVE-2026-85595 / CVE-2026-85597 は v2 系も対象なので、そちらは別に確認すること）。 更新までの暫定策として、ベンダーのアドバイザリは、**同じホスト・同じクライアント CA シークレット・同じ認証モードを共有する Ingress が2つ以上存在しない状態にする**（またはアノテーションを調整して1ホストにつき TLS 設定が1つになるようにする）ことを挙げている。 **確認手順**としては、`nginx.ingress.kubernetes.io/auth-tls-secret` を持つ Ingress を一覧し、`spec.rules[].host` が重複している組が無いかを見る。重複していれば、この CVE の条件に当たっている可能性が高い。

Traefik Labs Traefik Proxy の Kubernetes Ingress NGINX プロバイダ。影響は v3.7.0〜v3.7.10 のみ。修正版は v3.7.11 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-85596）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。