---
title: "Traefik の Ingress NGINX プロバイダーで mTLS が黙って無効になる欠陥（CVE-2026-119572）: CVSS 8.7、認証なしでクライアント証明書必須のバックエンドに到達、3.7.15 で修正"
url: https://n-t-p.io/worldsecurity/articles/traefik-cve-2026-119572-ingress-nginx-provider-mtls-bypass-auth-tls-secret-fixed-3-7-15
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-119572
---

# Traefik の Ingress NGINX プロバイダーで mTLS が黙って無効になる欠陥（CVE-2026-119572）: CVSS 8.7、認証なしでクライアント証明書必須のバックエンドに到達、3.7.15 で修正

> **TL;DR:** Traefik 3.7.0-ea.1 以上 3.7.15 未満の Ingress NGINX プロバイダーで、auth-tls-secret による mTLS が、同じホストの別 Ingress との設定の食い違いで黙って無効になり、認証なしでクライアント証明書必須のバックエンドに届く欠陥（CVE-2026-119572、CVSS 8.7、EPSS 0.0019）。KEV には未掲載。3.7.15 へ更新する。

**要点**
- Ingress ごとに付けた mTLS の TLS オプションがホストで食い違うと既定に戻り、クライアント証明書が要求されなくなる（CVE-2026-119572、CWE-287、VulnCheck の CVSS v3.1 8.7）
- 同じホストに auth-tls-secret を持たない Ingress のパスがある構成で成立し、エラーも出ずに保護が外れる。core.strictTLSOptions を有効にしていれば防げると勧告にある
- 対象は 3.7.0-ea.1 以上 3.7.15 未満で、修正版は 3.7.15。v2 と 3.7.0 より前の v3 は影響なし。EPSS 0.0019、KEV 未掲載
- 更新、strictTLSOptions の有効化、Ingress 設定の統一、証明書なし接続での確認が必要。悪用の有無と NVD の最終評価は未確認

Kubernetes の Ingress に使われるリバースプロキシ Traefik に、クライアント証明書による相互 TLS（mTLS）が気づかないうちに無効になる欠陥（CVE-2026-119572）が報告されています。Ingress NGINX プロバイダーで `nginx.ingress.kubernetes.io/auth-tls-secret` アノテーションを使って mTLS を設定していても、同じホストに別の Ingress が、同じ設定を持たないパスを宣言すると、Traefik は既定の TLS 設定に戻り、クライアント証明書を求めなくなります。その結果、認証のないネットワーク上の攻撃者が、本来クライアント証明書を必要とするバックエンドに届いてしまいます。NVD の CVSS v3.1 は 8.7（VulnCheck の評価）、悪用予測（EPSS）は 0.0019 です。CISA の KEV（悪用が確認された脆弱性）カタログには載っていません。対象は 3.7.0-ea.1 以上 3.7.15 未満で、修正版は 3.7.15 です。

## 概要

| 項目 | 内容 |
|---|---|
| 問題 | Ingress NGINX プロバイダーがクライアント認証の TLS オプションを Ingress ごとに付けており、同じホストで設定が食い違うと既定の TLS オプションに戻って mTLS が無効になる（CWE-287） |
| 攻撃条件 | ネットワークから到達でき、認証・操作は不要（AV:N/PR:N/UI:N）。ただし、同じホストに `auth-tls-secret` を持たない Ingress のパスがあるという構成上の前提が要る（AC:H） |
| 影響 | クライアント証明書で保護したつもりのバックエンドへ、証明書なしでアクセスされる。機密性・完全性に高い影響（スコープ変更あり） |
| CVSS v3.1 | 8.7（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N、評価元は VulnCheck。NVD の状態は Awaiting Analysis） |
| CVSS v4.0 | 7.0（GitHub の勧告は High） |
| EPSS | 0.0019（パーセンタイル 0.085、FIRST、2026-11-03） |
| CISA KEV | 載っていない（2026-11-04 時点） |
| 対象 | Traefik 3.7.0-ea.1 以上 3.7.15 未満。v2 と、3.7.0 より前の v3 は影響なし（`auth-tls-secret` の対応が 3.7 で入ったため） |
| 修正版 | 3.7.15 |

仕組みはこうです。Traefik の Kubernetes Ingress NGINX プロバイダーは、`auth-tls-secret` を付けた Ingress ごとに「クライアント証明書を要求する TLS オプション」を作ります。ところが、TLS のオプションは本来ホスト（サーバー名）単位で決まるものです。同じホストに、このアノテーションを持たない Ingress が別のパスを宣言すると、ホストに対する TLS オプションが食い違い、Traefik は既定の TLS オプションに落ちます。既定ではクライアント証明書を要求しません。`core.strictTLSOptions` を有効にしていない限り、この食い違いは警告なしに通ってしまいます。

## なぜ重要か

mTLS は、社内向け API、管理画面、サービス間通信などを「証明書を持つ相手だけ」に限る最後の砦として使われます。それが静かに外れると、設定上は保護されているのに、実際には誰でも届く状態になります。エラーも出ないため、気づくのが遅れやすい欠陥です。

一方で、成立には構成上の条件があります。Traefik の Ingress NGINX プロバイダーを使っていること、`auth-tls-secret` で mTLS を設定していること、同じホストに別の Ingress が設定なしでパスを持つこと、の 3 つです。EPSS は低く、KEV にも載っていません。条件に当てはまる環境では影響が大きいものの、当てはまらない環境では影響を受けません。

## 対策

- Traefik を 3.7.15 以上に更新する。
- 更新できない間は、`core.strictTLSOptions` を有効にする。勧告によれば、これを有効にすると食い違いが黙って通らなくなる。
- 同じホストの Ingress すべてに、同じ `auth-tls-secret` などのアノテーションを付けて設定をそろえる。
- 実際に mTLS が効いているかを、クライアント証明書なしで接続して確かめる。拒否されない経路があれば、バックエンド側でも認証・認可を入れる。
- 3.7 系より前の Traefik を使っている場合は、この欠陥の対象外。

## 数値と出典（2026-11-04 時点）

| 項目 | 内容 |
|---|---|
| NVD | Awaiting Analysis。CVSS v3.1 8.7（AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N）、評価元は VulnCheck。弱点の種類は CWE-287 |
| EPSS | 0.0019、パーセンタイル 0.085（FIRST、2026-11-03） |
| KEV | 載っていない |
| 出典 | NVD、GitHub セキュリティ勧告 GHSA-p8wx-ph99-xgcr、VulnCheck、FIRST、CISA KEV |

## 未確認の点

- 悪用の有無、規模、攻撃者。KEV には載っておらず、公開情報では悪用の報告を確認できていない。
- NVD の分析は未完了で、評価が変わる可能性がある。
- `core.strictTLSOptions` を有効にした場合に、既存の構成へ副作用が出るか。
- 3.7.0 の正式版から 3.7.14 までのうち、実際に影響を受ける版の範囲（NVD の構成情報は 3.7.0-ea.1 以上 3.7.15 未満）。
- 公開された悪用コードの有無。


## 出典
- [NVD CVE-2026-119572](https://nvd.nist.gov/vuln/detail/CVE-2026-119572) — NIST NVD
- [GitHub セキュリティ勧告 GHSA-p8wx-ph99-xgcr](https://github.com/traefik/traefik/security/advisories/GHSA-p8wx-ph99-xgcr) — Traefik
- [VulnCheck Advisory](https://www.vulncheck.com/advisories/traefik-3.7.0-ea.1-before-3.7.15-mtls-bypass-via-ingress-nginx-provider) — VulnCheck
- [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-119572) — FIRST

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/traefik-cve-2026-119572-ingress-nginx-provider-mtls-bypass-auth-tls-secret-fixed-3-7-15