CVE-2026-93302 注意：wolfSSLの認証バイパス脆弱性 nginx/Apacheなどに影響
この記事はAIがNVDのCVE情報をもとに要約・生成したものです。影響範囲や対策は、必ずNVDおよび各ベンダーの公式情報をご確認ください。
Linuxサーバー運用者向けに、wolfSSLのMatchTrustedPeer処理に存在する脆弱性（CVE-2026-93302）について注意が必要です。この脆弱性により、（D）TLS通信でクライアントが信頼するCA証明書を把握した悪意のあるサーバーが認証をバイパスする可能性があります。影響を受けるのは、WOLFSSL_TRUST_PEER_CERTマクロを有効にし、wolfSSL_CTX_trust_peer_cert()やwolfSSL_trust_peer_cert()でCA証明書を読み込む設定が含まれる構成です。特にautoconfベースの構築（例：nginx、haproxy、bindなど）でOPENSSL_COMPATIBLE_DEFAULTSが定義されている場合、すべてのCA証明書読み込みAPIが影響範囲に広がります。運用上は、信頼された証明書の読み込みを伴う（D）TLS通信（例：双方向認証）を実装している場合、最新版wolfSSLへの更新、修正パッチの適用、または–disable-openssl-compatible-defaultsフラグの設定とwolfSSL_CTX_trust_peer_cert()の使用回避が推奨されます。確認時には、構築時のマクロ定義や証明書読み込み処理の実装方法を確認し、影響があるかどうかを判断してください。
- NVD Detail (NVD) [日本語で表示]
ソクラテスの問い、プラトンの備え
プラトンよ、この脆弱性の存在は、私たちが「信頼」という概念をどう扱っているかを問い直す良い機会ではないか。たとえば、証明書の信頼が自動的に拡張される仕組みは、哲学的にも「誤った信頼」のリスクを孕んでいるのではないだろうか。
その問いは鋭いですが、ソクラテス。現実的には、運用者はまず「WOLFSSL_TRUST_PEER_CERTマクロが有効か」を確認すべきです。また、autoconfで構築された環境ではOPENSSL_COMPATIBLE_DEFAULTSが定義されていないか、確認する必要があります。これは、証明書読み込みAPIが広範囲に影響を及ぼす可能性があるためです。
では、具体的な確認作業はどのようにすればよいのか。たとえば、構築時の設定ファイルを精査する必要があるのか？
まさにその通りです。例えば、nginxやhaproxyのコンパイルログを確認し、WOLFSSL_TRUST_PEER_CERTが有効にされているか、wolfSSL_CTX_trust_peer_cert()が使用されていないかをチェックしましょう。また、CA証明書の読み込み処理がどのAPIを介しているかをコードレベルで確認する必要があります。
しかし、運用者はこの脆弱性を「哲学的問題」ではなく「技術的リスク」と見なすべきではないか。パッチ適用や変更管理の重要性を強調すべきではないか。
その通りです。最新版wolfSSLへの更新、修正パッチの適用、または–disable-openssl-compatible-defaultsフラグの設定が必須です。また、変更管理の文書化と監視ツールの設定も忘れずに。たとえば、証明書の信頼関係が意図せずに拡張されていないかを定期的に監視する仕組みを導入すべきです。
では、ベンダー情報の確認はどのように行うべきか。
wolfSSLの公式サイトや、使用しているソフトウェア（例：nginx、bind）のリリースノートを確認し、影響範囲が自分の環境に該当するかを精査してください。また、パッチ適用後の再テストも忘れずに。
最後に、運用者はこの脆弱性から何を学ぶべきだろうか？
「信頼」は自動ではできない。配置の詳細を精査し、変更は慎重に、そしてベンダーとの連携は不可欠です。さもなくば、哲学的な問いとは別に、現実のシステムが崩壊するかもしれませんよ。
関連キーワード: openssl, apache, httpd, nginx, bind