Traefik v3.7系のKubernetes Ingress NGINX providerで、同一ホストのIngress間でmTLS設定が競合するとクライアント証明書認証が無効化される問題（GHSA-p8wx-ph99-xgcr、HIGH・CVSS 7.0）。
30秒でわかる / THE SIGNAL
Traefik v3.7系のKubernetes Ingress NGINX providerで、同一ホストのIngress間でmTLS設定が競合するとクライアント証明書認証が無効化される問題（GHSA-p8wx-ph99-xgcr、HIGH・CVSS 7.0）。
公表された問題
TraefikのKubernetes Ingress NGINX providerで、nginx.ingress.kubernetes.io/auth-tls-secret注釈によるmTLSクライアント認証が、同一ホストの別Ingressで同じ認証設定を指定していない場合に無効化される恐れがある。TLSオプション競合時に既定設定へフォールバックし、証明書を要求しない場合がある。GHSA-p8wx-ph99-xgcr、CVSS v4.0 7.0（High）。
影響バージョンと条件
v3.7.0-ea.1からv3.7.14が影響する。対象はKubernetes Ingress NGINX providerを使用し、同一ホスト上のIngressに異なるmTLS設定があり、core.strictTLSOptionsが有効でない構成。Traefik v2とv3.7以前のv3は当該注釈に対応しておらず、この問題の影響を受けない。
修正版と管理者の対応
v3.7.15以降へ更新する。現在の最新系列へ移行する場合も修正が含まれるバージョンか確認する。同一ホストのIngress間のauth-tls-secret注釈、TLSオプションの整合性、core.strictTLSOptionsを点検する。公式勧告：https://github.com/traefik/traefik/security/advisories/GHSA-p8wx-ph99-xgcr
悪用状況と編集部の視点
2026年10月27日時点、開発元の勧告に実環境での悪用確認は明示されていない。認証必須のはずの経路が設定競合で認証不要になるという、クラウドネイティブ運用上の重要なリスクを示す。