Axios HTTP/2 セッションクリーンアップにおけるステート破損の脆弱性

Axios の CVE-2026-39865 は、HTTP/2 が有効になっている 1.13.2 以前のバージョンに影響します。これは、HTTP/2 セッション クリーンアップ ロジックにおけるステート破損のバグであり、悪意のあるサーバーが、並行セッションのクローズを通じてクライアント プロセスをクラッシュさせることを可能にします。この脆弱性は、lib/adapters/http.js 内の Http2Sessions.getSession() メソッドに存在します。セッション クリーンアップ ロジックは、セッション配列からセッションを削除する際の制御フローにエラーがあり、競合状態を引き起こし、プログラムがクラッシュする可能性があります。CVSS 重度は 5.9 で、中程度のリスクを示します。 脆弱性を悪用するには、サーバーが HTTP/2 セッションの並行クローズフローを制御する必要があります。

Applications built with Node.js that utilize Axios for HTTP communication and have HTTP/2 enabled are at risk. This includes web applications, APIs, and any other JavaScript environments leveraging Axios. Shared hosting environments where users have limited control over Axios configuration are particularly vulnerable.

• nodejs / server:

  ps aux | grep axios | grep http2

• nodejs / server:

  journalctl -u axios -f | grep -i "session cleanup"

• generic web: Inspect application logs for Axios crashes or errors related to HTTP/2 sessions. Look for patterns indicating concurrent session closures or unexpected behavior within the Axios client.

1. 2026-04-08Disclosure

   disclosure

1. 予約済み2026-04-07
2. 公開日2026-04-08
3. 更新日2026-04-27
4. EPSS 更新日2026-04-16

この脆弱性の解決策は、Axios をバージョン 1.13.2 以降にアップグレードすることです。このバージョンは、セッション クリーンアップ ロジックのエラーを修正し、ステート破損とクライアントのクラッシュを防ぎます。即時アップグレードが不可能な場合は、Axios で HTTP/2 を無効にすることをお勧めします。ただし、これにより接続パフォーマンスが影響を受ける可能性があります。Axios が使用されているすべての環境 (本番、テスト、開発を含む) で更新を適用してください。npm list axios または yarn list axios を使用してインストールされている Axios のバージョンを確認してください。