WebリバースプロキシTraefikの実験的FastProxy機能に、認証なしの通信でプロセスを停止させ得るHIGHの脆弱性がある。開発元は影響範囲をv3.2.0〜v3.7.14、修正版をv3.7.15と案内。10月30日にCVE-2026-119574として新たに登録されたが、影響するのはFastProxyを有効にした構成に限られる。
30秒でわかる / THE SIGNAL
WebリバースプロキシTraefikの実験的FastProxy機能に、認証なしの通信でプロセスを停止させ得るHIGHの脆弱性がある。開発元は影響範囲をv3.2.0〜v3.7.14、修正版をv3.7.15と案内。10月30日にCVE-2026-119574として新たに登録されたが、影響するのはFastProxyを有効にした構成に限られる。
HTTP/1のプロトコル切り替え後に競合が発生
Traefik開発元が10月16日に公開したGHSA-ww7c-q3mv-xx22によると、実験的機能 `experimental.fastProxy` では、バックエンドがHTTP/1の「101 Switching Protocols」を返した後、接続プールとトンネルのコピー処理が同じバッファ付きリーダーを同期なしで読み取る場合がある。WebSocketなどへの切り替えを伴う接続を繰り返し開いて切断すると、内部状態の競合により回復不能なpanicが起き、Traefikプロセス全体が停止する可能性がある。
対象はFastProxy有効化環境、通常構成への一律適用は誤り
開発元が示す影響バージョンはTraefik v3.2.0からv3.7.14まで。ただし、影響するのは `experimental.fastProxy` を有効にした環境だけである。FastProxyはv3.2で導入されたため、Traefik v2は対象外と明記されている。開発元のCVSS v4.0ベーススコアは8.2でHIGH。ネットワーク経由・認証不要で可用性に影響する一方、すべてのTraefik環境が同じ条件で危険になるわけではない。
修正版はv3.7.15、古いv3系列は移行が必要
開発元はv3.7.15を修正版として指定し、同リリースの変更履歴にもGHSA-ww7c-q3mv-xx22への対応と、FastProxyのアップグレード接続における並行バッファ読み取りの修正が記載されている。v3.2〜v3.6はすでに保守対象外で個別パッチが提供されないため、該当環境では修正済みv3.7系列以降への更新を検討する必要がある。まず設定上のFastProxy有効化状況を点検し、該当する環境の更新を優先したい。
10月30日にCVE登録、実悪用は未確認
本件の開発元勧告は10月16日公開だが、GitHub Advisory Databaseには10月30日にCVE-2026-119574として別途登録された。開発元GHSA本文ではCVE欄が「No known CVE」となっており、掲載情報の更新タイミングに差がある。確認した開発元勧告には実環境での悪用を裏付ける記述はなく、悪用の有無は未確認として扱う。今回のCVE登録は新たな識別情報であり、新たな攻撃発生の証拠ではない。