---
title: "ModSecurity 3.0.17 より前の CVE-2026-104269・73856・103932・61813: アップロードのファイル名や大文字小文字の違いで WAF の検査をすり抜けられる恐れ"
url: https://n-t-p.io/worldsecurity/articles/modsecurity-cve-2026-104269-73856-103932-61813-waf-bypass-multipart-filename-content-type-case-pcre-limit-before-3-0-17
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-104269, CVE-2026-73856, CVE-2026-103932, CVE-2026-61813
---

# ModSecurity 3.0.17 より前の CVE-2026-104269・73856・103932・61813: アップロードのファイル名や大文字小文字の違いで WAF の検査をすり抜けられる恐れ

> **TL;DR:** ModSecurity 3.0.17 より前の 4 件（CVE-2026-104269・73856・103932・61813）。multipart の filename* の優先順位の食い違い、応答 Content-Type の大小文字の区別、PCRE の一致上限の扱いで、WAF の検査をすり抜けられる恐れ。最高は GitHub 評価 CVSS v3.1 8.6（PR:N）で severity 案は high。3.0.17（2.9 系は 2.9.15）で修正。悪用・勧告の中身・NVD 最終評価は未確認。

**要点**
- 104269（8.6）はアップロードの filename* の優先順位が WAF とアプリで食い違い、WAF には無害な名前を見せたまま、アプリには別の名前を使わせられる恐れ。
- 73856（8.6）は応答の Content-Type の比較が大小文字を区別し、大小文字の混ざった指定だと応答本文の検査が飛ばされる。103932（5.8）は PCRE の一致上限の超過が「一致なし」になる。
- 61813（3.7）は libcurl の VERIFYHOST が 1 のままで、通信の途中に入られると別ホストの証明書を受け入れる危険が増す。
- 4 件とも認証不要だが最高 8.6 で、基準では high。EPSS は未付与、KEV 掲載なし。3.0.17（2.9 系は 2.9.15）で修正。
- 悪用・勧告とコミットの中身・NVD 最終評価は未確認。

WAF（Web アプリケーションファイアウォール）のエンジン **ModSecurity** で、2026-11-05 に **4 件**の CVE が NVD に登録されました。登録元はいずれも GitHub で、NVD の状態は Received（受付済み）です。4 件とも **3.0.17（2.9 系は 2.9.15）で修正**されています。うち 3 件は、細工した要求や応答で **WAF の検査をすり抜けられる**というものです。

## 4 件の内容
| CVE | 内容 | 点数（GitHub 評価 CVSS v3.1） | 影響する版 |
|---|---|---|---|
| CVE-2026-104269 | multipart（ファイルのアップロード）の解析で、RFC 2231 の filename* 指定の優先順位が、Go・Python・Node.js・Java などのアプリ側の解析と食い違う。WAF には無害なファイル名、アプリには別の（危険な）ファイル名として見せられる（CWE-436） | **8.6**（PR:N） | 3.0.0 から 3.0.17 の手前まで |
| CVE-2026-73856 | 応答の Content-Type を SecResponseBodyMimeType の設定と大文字小文字を区別して比べるため、大小文字の混ざった同じ種類の指定だと応答本文の検査が飛ばされ、本来止める内容（エラーやデバッグ情報など）がそのまま返る（CWE-178） | **8.6**（PR:N） | 3.0.0 から 3.0.17 の手前まで |
| CVE-2026-103932 | PCRE2 版の @rxGlobal が、一致回数の上限（SecPcreMatchLimit）に達した状態を「一致なし」として扱う。上限超過を見て止める補う規則（MSC_PCRE_LIMITS_EXCEEDED を使うもの）が動かず、本来拒否すべき要求が通る（CWE-253） | 5.8（PR:N） | 3.0.5 から 3.0.17 の手前まで |
| CVE-2026-61813 | 設定の取得などに使う HttpsClient::download が、libcurl の CURLOPT_SSL_VERIFYHOST を厳密な値 2 ではなく 1 にしている。通信の途中に入られる環境では、別のホストの証明書を受け入れる危険が増す。NVD は実際に悪用するのは簡単ではないと記載（CWE-295） | 3.7（AC:H） | 2.9.15 / 3.0.17 より前 |

## どんな場面で問題になるか
- **104269**: アップロードされたファイルの名前・拡張子で保存先や種類を決めるアプリでは、WAF が見ていた名前と違う名前が使われる恐れがあります。NVD は、PHP の標準の multipart 解析ではこの食い違いは起きないと記載しています。
- **73856**: 応答の本文を検査する規則（phase 4）で、機密を含むエラーやデバッグ情報の流出を止めている構成が対象です。
- **103932**: @rxGlobal に上限を使い切らせる式があり、かつ上限超過を見て止める補う規則を置いている構成に限られます。NVD は「すべての WAF の迂回ではない」と明記しています。
- **61813**: 攻撃には通信経路上の第三者になる必要があり、条件は厳しめです。

## 評価
- 4 件とも認証は不要（PR:N）です。ただし最高でも 8.6 で、9 未満のため、基準では severity は **high** です。いずれも WAF の「検査をすり抜ける」問題で、それだけで侵入が成立するわけではなく、WAF の裏にあるアプリの弱点を突く攻撃の足がかりになる、という位置づけです。
- FIRST の EPSS は、取得時点では 4 件とも未付与でした。CISA の KEV には掲載されていません（2026-11-06 に一覧を検索）。実際の攻撃での悪用は、本稿では確認できていません。

## 対策として考えられること
1. ModSecurity v3 を **3.0.17 以降**に更新します（v2 を使っている場合は 61813 のみが対象で、2.9.15 以降）。Nginx・Apache・IIS のコネクタを別に導入している場合も、エンジン側の更新が必要かを確認します。
2. 更新までの間、アップロードされるファイル名をアプリ側でも検査します（filename* と filename の両方を見る、拡張子の許可リストを使うなど）。WAF の判定だけに頼りません。
3. 応答本文の検査を使っているなら、バックエンドが返す Content-Type を小文字にそろえる（プロキシで正規化する）ことを検討します。エラーやデバッグ情報をそもそも外へ出さない設定も合わせて確認します。
4. SecPcreMatchLimit の上限超過を補う規則を置いている場合は、上限超過が起きたログ（PCRE の制限超過）が出ていないかを確認します。
5. WAF を通過した要求のうち、不自然なファイル名（filename* を含むもの）や、大小文字が混ざった Content-Type の応答がないか、ログを見直します。

## 未確認の点
- 実際の攻撃での悪用の有無。
- GitHub の勧告（GHSA-5pww-8rfg-9crf・GHSA-vmg8-j66p-vgvw・GHSA-5m93-4h75-3p2w・GHSA-2vqc-36qp-ccmw）、修正コミット、v3.0.17・v2.9.15 のリリースの中身（本稿では NVD の記述のみ読みました）。
- 3.0.0 より前の版が影響するかどうか、v2 系の 104269 などへの影響（v2.9.15 のリリース参照はあるが、NVD の影響版の記載は 3.0 系のみ）。
- Nginx・Apache・IIS の各コネクタ側で追加の対応が要るか。
- NVD の最終評価（現在は Received で、変わる可能性があります）。


## 出典
- [NVD CVE-2026-104269](https://nvd.nist.gov/vuln/detail/CVE-2026-104269) — NIST NVD
- [NVD CVE-2026-73856](https://nvd.nist.gov/vuln/detail/CVE-2026-73856) — NIST NVD
- [NVD CVE-2026-103932](https://nvd.nist.gov/vuln/detail/CVE-2026-103932) — NIST NVD
- [NVD CVE-2026-61813](https://nvd.nist.gov/vuln/detail/CVE-2026-61813) — NIST NVD
- [ModSecurity GitHub 勧告 GHSA-5pww-8rfg-9crf（CVE-2026-104269。NVD の参照先。未取得）](https://github.com/owasp-modsecurity/ModSecurity/security/advisories/GHSA-5pww-8rfg-9crf) — OWASP ModSecurity
- [ModSecurity GitHub 勧告 GHSA-vmg8-j66p-vgvw（CVE-2026-73856。未取得）](https://github.com/owasp-modsecurity/ModSecurity/security/advisories/GHSA-vmg8-j66p-vgvw) — OWASP ModSecurity
- [ModSecurity v3.0.17 リリース（NVD の参照先。未取得）](https://github.com/owasp-modsecurity/ModSecurity/releases/tag/v3.0.17) — OWASP ModSecurity
- [ModSecurity v2.9.15 リリース（NVD の参照先。未取得）](https://github.com/owasp-modsecurity/ModSecurity/releases/tag/v2.9.15) — OWASP ModSecurity
- [FIRST EPSS API（2026-11-06 時点で 4 件とも未付与）](https://api.first.org/data/v1/epss?cve=CVE-2026-104269,CVE-2026-73856,CVE-2026-103932,CVE-2026-61813) — FIRST
- [CISA Known Exploited Vulnerabilities（2026-11-06 に検索、掲載なし）](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/modsecurity-cve-2026-104269-73856-103932-61813-waf-bypass-multipart-filename-content-type-case-pcre-limit-before-3-0-17