負荷分散ソフトウェア「HAProxy」の設定管理用APIである「HAProxy Data Plane API」に、認証を回避できる深刻な脆弱性「CVE-2026-109575」が明らかとなりました。相互TLS認証（mTLS）を設定した際に認証機能が適用されなくなるおそれがあり、CVSSv3.1のベーススコアは「9.8」と評価されています。
脅威の概要
「HAProxy Data Plane API」において、相互TLS認証（mTLS）を設定した際にHTTPやUNIXドメインソケット経由のアクセスに必要な認証が無効になる脆弱性（CVE-2026-109575）です。認証方式を切り替える共通のリクエスト処理の実装不備に起因し、特定の認証設定を行うことで認証なしにAPIの管理機能が利用可能になるおそれがあります。
対象となる組織・利用者
「HAProxy Data Plane API」を導入し、相互TLS認証（mTLS）などの特定の認証設定を利用している組織。
推奨される防御アクション
HAProxy Technologiesがリリースした修正版（バージョン「3.4.4」「3.3.9」「3.2.17」「3.0.25」「2.9.29」）を適用する
