【要点】
◎ModSecurityにWAF回避可能な脆弱性が発見され、細工HTTPリクエストにより検知不一致を悪用できる問題が判明 (gbhackers.)
【訳】
ModSecurityのセキュリティ上の脆弱性により、細工されたHTTPリクエストを用いてWAFルールを回避することが可能になる
【要約】
ModSecurityに複数の脆弱性（CVE-2026-52761、CVE-2026-52747）が発見され、細工されたHTTPリクエストによりWAF検知を回避できる問題が判明した。文字変換処理の不具合やmultipartパーサーの解析不一致により、WAFとバックエンドで異なる解釈が生じ、攻撃ペイロードが見逃される可能性がある。認証不要で悪用可能なためリスクは高く、バージョン3.0.16への更新と検証ロジックの見直しが推奨される。
【ニュース】
◆ModSecurity Security Flaws Enable WAF Rule Evasion With Crafted HTTP Requests (gbhackers., 2026/07/06)
[ModSecurityのセキュリティ上の脆弱性により、細工されたHTTPリクエストを用いてWAFルールを回避することが可能になる]
https://gbhackers.com/modsecurity-security-flaws/
