HashiCorp ConsulのHTTP APIで、認証確認前に大きなリクエストを読み込みメモリ枯渇を招くCVE-2026-105626。対象環境と修正版を解説。
30秒でわかる / THE SIGNAL
HashiCorp ConsulのHTTP APIで、認証確認前に大きなリクエストを読み込みメモリ枯渇を招くCVE-2026-105626。対象環境と修正版を解説。
何が起きたか
HashiCorpが2026年10月26日に公開したHCSEC-2026-48（CVE-2026-105626）は、Consul agentのHTTP APIにおけるサービス拒否（DoS）脆弱性。複数のエンドポイントがACL権限確認前にサイズ制限なくリクエスト本文をメモリに読み込む。
影響と成立条件
ConsulおよびConsul Enterpriseの2.0.4以前の該当バージョンが対象。攻撃者がagent HTTP APIへ到達できる場合、ACLトークンがなくても巨大または並列のリクエストでメモリを消費させ、サービス低下やOSによるプロセス終了を引き起こす恐れがある。APIが外部公開されていない構成では到達性が異なる。
修正版と対処
Consul Community 2.1.0、Enterprise 2.1.0または1.21.19に更新する。修正版では多くのHTTP API書き込みエンドポイントが512KiB超の本文を拒否するため、大きな設定エントリを扱う運用では互換性も確認する。agent HTTP APIへのアクセスを制限する。一次情報：https://discuss.hashicorp.com/t/hcsec-2026-48-consul-vulnerable-to-a-denial-of-service-in-http-apis/77913
悪用状況と編集部の視点
2026年10月27日時点、公式勧告で実環境の悪用確認は示されていない。同日に公開されたConsulの認可回避とは異なる攻撃経路であり、APIの公開範囲と更新計画をまとめて点検する価値がある。