ModSecurity 3.0.17 より前の CVE-2026-104269・73856・103932・61813: アップロードのファイル名や大文字小文字の違いで WAF の検査をすり抜けられる恐れ

WAF（Web アプリケーションファイアウォール）のエンジン ModSecurity で、2026-11-05 に 4 件の CVE が NVD に登録されました。登録元はいずれも GitHub で、NVD の状態は Received（受付済み）です。4 件とも 3.0.17（2.9 系は 2.9.15）で修正されています。うち 3 件は、細工した要求や応答で WAF の検査をすり抜けられるというものです。

4 件の内容

CVE	内容	点数（GitHub 評価 CVSS v3.1）	影響する版
CVE-2026-104269	multipart（ファイルのアップロード）の解析で、RFC 2231 の filename* 指定の優先順位が、Go・Python・Node.js・Java などのアプリ側の解析と食い違う。WAF には無害なファイル名、アプリには別の（危険な）ファイル名として見せられる（CWE-436）	8.6（PR:N）	3.0.0 から 3.0.17 の手前まで
CVE-2026-73856	応答の Content-Type を SecResponseBodyMimeType の設定と大文字小文字を区別して比べるため、大小文字の混ざった同じ種類の指定だと応答本文の検査が飛ばされ、本来止める内容（エラーやデバッグ情報など）がそのまま返る（CWE-178）	8.6（PR:N）	3.0.0 から 3.0.17 の手前まで
CVE-2026-103932	PCRE2 版の @rxGlobal が、一致回数の上限（SecPcreMatchLimit）に達した状態を「一致なし」として扱う。上限超過を見て止める補う規則（MSC_PCRE_LIMITS_EXCEEDED を使うもの）が動かず、本来拒否すべき要求が通る（CWE-253）	5.8（PR:N）	3.0.5 から 3.0.17 の手前まで
CVE-2026-61813	設定の取得などに使う HttpsClient::download が、libcurl の CURLOPT_SSL_VERIFYHOST を厳密な値 2 ではなく 1 にしている。通信の途中に入られる環境では、別のホストの証明書を受け入れる危険が増す。NVD は実際に悪用するのは簡単ではないと記載（CWE-295）	3.7（AC:H）	2.9.15 / 3.0.17 より前

どんな場面で問題になるか

• 104269: アップロードされたファイルの名前・拡張子で保存先や種類を決めるアプリでは、WAF が見ていた名前と違う名前が使われる恐れがあります。NVD は、PHP の標準の multipart 解析ではこの食い違いは起きないと記載しています。
• 73856: 応答の本文を検査する規則（phase 4）で、機密を含むエラーやデバッグ情報の流出を止めている構成が対象です。
• 103932: @rxGlobal に上限を使い切らせる式があり、かつ上限超過を見て止める補う規則を置いている構成に限られます。NVD は「すべての WAF の迂回ではない」と明記しています。
• 61813: 攻撃には通信経路上の第三者になる必要があり、条件は厳しめです。

評価

• 4 件とも認証は不要（PR:N）です。ただし最高でも 8.6 で、9 未満のため、基準では severity は high です。いずれも WAF の「検査をすり抜ける」問題で、それだけで侵入が成立するわけではなく、WAF の裏にあるアプリの弱点を突く攻撃の足がかりになる、という位置づけです。
• FIRST の EPSS は、取得時点では 4 件とも未付与でした。CISA の KEV には掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。

対策として考えられること

1. ModSecurity v3 を 3.0.17 以降に更新します（v2 を使っている場合は 61813 のみが対象で、2.9.15 以降）。Nginx・Apache・IIS のコネクタを別に導入している場合も、エンジン側の更新が必要かを確認します。
2. 更新までの間、アップロードされるファイル名をアプリ側でも検査します（filename* と filename の両方を見る、拡張子の許可リストを使うなど）。WAF の判定だけに頼りません。
3. 応答本文の検査を使っているなら、バックエンドが返す Content-Type を小文字にそろえる（プロキシで正規化する）ことを検討します。エラーやデバッグ情報をそもそも外へ出さない設定も合わせて確認します。
4. SecPcreMatchLimit の上限超過を補う規則を置いている場合は、上限超過が起きたログ（PCRE の制限超過）が出ていないかを確認します。
5. WAF を通過した要求のうち、不自然なファイル名（filename* を含むもの）や、大小文字が混ざった Content-Type の応答がないか、ログを見直します。

未確認の点

• 実際の攻撃での悪用の有無。
• GitHub の勧告（GHSA-5pww-8rfg-9crf・GHSA-vmg8-j66p-vgvw・GHSA-5m93-4h75-3p2w・GHSA-2vqc-36qp-ccmw）、修正コミット、v3.0.17・v2.9.15 のリリースの中身（本稿では NVD の記述のみ読みました）。
• 3.0.0 より前の版が影響するかどうか、v2 系の 104269 などへの影響（v2.9.15 のリリース参照はあるが、NVD の影響版の記載は 3.0 系のみ）。
• Nginx・Apache・IIS の各コネクタ側で追加の対応が要るか。
• NVD の最終評価（現在は Received で、変わる可能性があります）。