Traefik 2.11.60 未満・3.7.16 未満で、ForwardAuth の接続共有により他の利用者になりすませる恐れ（CVE-2026-121966）: CVSS v3.1 8.7、修正版あり

Traefik 2.x（2.11.60 より前）と 3.x（3.7.16 より前）について、ForwardAuth の仕組みに起因する脆弱性（CVE-2026-121966）が 2026-11-04 に NVD へ登録されました。登録元は VulnCheck です。NVD の状態は「Awaiting Analysis」で、NVD 自身の分析は付いていません。

何が起きるか

• Traefik は ForwardAuth（認証用の別サーバーへ、リクエストの可否を問い合わせる機能）の副リクエストを、全クライアントで共有する接続プールで送ります。3.7 系では Ingress NGINX 互換の auth-url リクエストも同じ扱いです。
• NTLM や Negotiate（Kerberos など）の認証は、認証が済んだ「接続」そのものに結び付きます。接続が共有されていると、認証していない攻撃者が、別の利用者の認証済み接続を再利用できてしまいます。
• その結果、認証サーバーが返す利用者の識別情報（authResponseHeaders で背後のサービスへ渡される値）を攻撃者が受け取り、その利用者として背後のサービスにアクセスできる恐れがあります。
• 攻撃にあたり認証・利用者の操作は不要で、ネットワーク経由です。ただし、ForwardAuth の認証サーバーが NTLM または Negotiate を使っていることが前提になります（NVD の記述にもとづく整理です）。

数値と severity

• CVSS v3.1 は 8.7（HIGH）で、ベクターは AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N です。CVSS v4.0 は 7.0（HIGH）です。どちらも NVD ではなく登録元（VulnCheck）が付けた評価です。
• 弱点の種類は CWE-488（異なるデータの混在）とされています。
• 認証不要ですが CVSS が 9 未満のため、severity は high とします。
• EPSS は未算出、CISA の KEV には掲載がありません（本記事の作成時点）。

影響を受ける版と修正

• Traefik 2.x は 2.11.60 より前が影響を受け、2.11.60 で修正されています。
• Traefik 3.x は 3.0.0 以上 3.7.16 未満が影響を受け、3.7.16 で修正されています。
• 修正の具体的な中身（接続プールの分離の仕方など）は、本記事では確認できていません。

対策

• Traefik を 2.11.60 以降、または 3.7.16 以降に更新する。
• 更新までの間に考えられる対応（公式の指示ではありません）:
  • ForwardAuth の認証サーバーが NTLM や Negotiate を使っているか確認する。使っていなければ、この問題の前提には当たりません。
  • 使っている場合は、認証方式の見直しや、ForwardAuth 経由の保護対象の一時的な制限を検討する。
  • 認証サーバーと背後のサービスのログで、身に覚えのない利用者としてのアクセスがないか確認する。

未確認の点

• 悪用の有無と、攻撃コードの公開状況。
• GitHub の勧告（GHSA-hrpp-p4fc-wwf8）と VulnCheck の勧告の本文（本記事の作成時点で内容を取得できていません）。
• 修正の具体的な内容と、回避策の有無。
• EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-121966
• Traefik の GitHub 勧告 GHSA-hrpp-p4fc-wwf8（NVD の参照先。本文は未取得）
• VulnCheck の勧告（NVD の参照先。本文は未取得）