Traefik でマルチホストのルータ設定によりクライアント証明書認証（mTLS）が既定設定へ落ちる（CVSS 9.1）

Critical（CVSS 9.1）に分類されるTraefik Labs Traefik Proxy の TLS オプション解決。影響は v2.11.55 より前と v3.0.0〜v3.7.10。修正版は v2.11.55 と v3.7.11の脆弱性です。**mTLS を必須にしたつもりのルートが、クライアント証明書なしで通る。** NVD の説明によれば、Traefik の TLS オプション解決に不備があり、**1つのルータ規則で複数のホスト名を束ねている構成**で、攻撃者が競合する TLS オプションを作ることにより、クライアント証明書認証をバイパスできる。 仕組みは「競合したら既定へ落ちる」という挙動にある。Traefik は同じホストに対して複数の TLS オプションが指定されたとき、それを**競合として扱い、エントリポイントの既定 TLS 設定へフォールバックする**。既定設定はクライアント証明書を要求しない。したがって、**厳格な mTLS を要求していたホストまで、まとめて要求なしの状態になる**。 **「設定を間違えると落ちる」のではなく「他人が競合を作れると落ちる」**のがこの問題の本質である。複数のチーム・テナントが同じ Traefik に設定を入れられる環境では、影響を受ける側が自分の設定だけを見ていても気づけない。 **影響範囲が広い。** v2 系は v2.11.55 より前、v3 系は v3.0.0 から v3.7.10 までが対象で、**現行の2系統の大部分が含まれる**。CVSS は NVD で **9.1 Critical**（AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N）。可用性への影響は無いと評価されている。 **KEV には 2026年9月21日時点で収載されていない。**

**v2.11.55 または v3.7.11 以降へ更新する。** 更新前に影響を見極めるなら、**mTLS（クライアント証明書認証）を要求しているルータがあるかどうか**を先に確認する。`tls.options` で `clientAuth` を設定している TLSOption が1つも無ければ、この CVE で失われる保護は無い。 使っている場合は、**1つのルータ規則に複数のホスト名を入れている箇所**が危険な形である。`Host(\`a.example.com\`) || Host(\`b.example.com\`)` のようにまとめているルールを、**ホストごとに分ける**と、競合の起点が減る。ただしこれもベンダーが提示したワークアラウンドではなく、根本の解決は更新である。 **更新後の確認**として、mTLS を要求しているホストへクライアント証明書なしで接続し、TLS ハンドシェイクの段階で拒否されることを確かめる。通ってしまうなら、まだ既定設定へ落ちている。

Traefik Labs Traefik Proxy の TLS オプション解決。影響は v2.11.55 より前と v3.0.0〜v3.7.10。修正版は v2.11.55 と v3.7.11 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-85597）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。