Squid CVE-2026-47729 and CVE-2026-50012 (06/12)

 https://www.openwall.com/lists/oss-security/2026/06/12/1

--- 以下、Copilotの解説 --->

この記事は Squid 7.6で修正された2件の脆弱性 に関するものです。 [openwall.com]

1. CVE-2026-47729

概要

• FTP Gateway の入力検証不備による Out-of-Bounds Read（境界外読取り）
• 信頼されたクライアントが、異常応答を返すFTPサーバ経由で他トランザクションの情報を読み取れる可能性があります。 [openwall.com], [app.opencve.io]

CVSS

• CVSS v3.1: 6.5 (Medium)
• Vector: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N [app.opencve.io]

KEV Catalog

• 掲載されていません（KEV: No）。 [app.opencve.io], [cisa.gov]

2. CVE-2026-50012

概要

• cache_digest処理の Heap-based Buffer Overflow
• 細工された cache_digest 応答により DoS、条件によってはより深刻な影響につながる可能性があります。
• --enable-cache-digests オプション付きでビルドされた Squid に限定されます。 [openwall.com], [app.opencve.io]

CVSS

評価機関により差があります。

OpenCVE

• CVSS v3.1: 5.5 (Medium)
• Vector: AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:H [app.opencve.io]

Amazon Linux / SUSE

• CVSS v3.1: 8.1 (High)
• Vector: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H [explore.al...amazon.com], [suse.com]

つまり、

• 保守的に見れば 5.5 Medium
• ベンダ評価では 8.1 High

と評価が割れている状況です。 [app.opencve.io], [explore.al...amazon.com], [suse.com]

KEV Catalog

• 掲載されていません（KEV: No）。 [app.opencve.io], [cisa.gov]

---

まとめ

CVE	内容	CVSS	KEV
CVE-2026-47729	FTP Gateway OOB Read	6.5 Medium	なし
CVE-2026-50012	cache_digest Heap Buffer Overflow	5.5 Medium ～ 8.1 High	なし

[app.opencve.io], [app.opencve.io], [explore.al...amazon.com], [suse.com]

システム管理者向けの実務的コメント

この2件は KEV未掲載 かつ 「trusted client」「trusted server」など攻撃成立条件が比較的限定的 です。 [openwall.com], [app.opencve.io], [app.opencve.io]

企業内で Squid を利用している場合、

1. インターネット公開RCE級の緊急事象ではない
2. ただし Squid を利用しているならアップデート推奨
3. 特に --enable-cache-digests を有効化している環境は優先度を上げる

という判断になると思います。 [openwall.com], [app.opencve.io], [suse.com]

OPNsense利用者の観点では、このSquidの2件より、先ほどのOpenVPNの use-after-free（CVSS 9.8）の方が優先度は高いと考えてよいでしょう。 [tenable.com], [tenable.com], [app.opencve.io], [app.opencve.io]