NGINX と LuaJIT ベースの OpenResty ネットワークプラットフォームの 1.31.8.1 正式版をリリースしました。リリースノート全文をご確認いただけます。

本リリースでは、ポータブルなソースコード配布版、および Ubuntu、Debian、Fedora、CentOS、RHEL、OpenSUSE、Amazon Linux 向けのビルド済みバイナリパッケージを提供しています。パッケージはこちらからダウンロードできます。

すべての開発者と貢献者の皆様に感謝いたします！また、OpenResty Inc. による OpenResty コア開発への多大な支援に感謝いたします。

主な変更点

本バージョンの主な変更点は以下のとおりです。

  • Nginx コア：nginx 1.31.1 から 1.31.8 へアップグレード
  • OpenSSL：3.5.6 から 3.5.9 へアップグレード
  • PCRE2：10.47 から 10.49 へアップグレード
  • lua-nginx-module（v0.10.32rc7 へアップグレード）
    • ssl_certificate_by_lua* で設定した証明書の圧縮に対応
    • balancer_by_lua* で試行回数のラップアラウンドにより再試行が無制限になる問題を修正
    • proxy_bind 使用時に balancer の keepalive 接続が再利用されない問題を修正
    • ngx.flush() のバッファがキューに残ったまま再利用される問題を修正
    • lua_code_cache off 時に server_rewrite_by_lua* がグローバル VM を使用する問題を修正
    • ハンドシェイクが即時完了した場合に sslhandshake の証明書検証エラーが失われる問題を修正
    • HTTP/2 エラー発生時の Lua サブリクエストのウェイクアップ処理を修正
    • receiveuntil イテレータ、クライアント CA 名リスト、ワーカースレッドに関連する複数のメモリ安全性の問題を修正
  • stream-lua-nginx-module（v0.0.20rc3 へアップグレード）
    • receiveuntil イテレータの GC 後に発生する use-after-free を修正
    • uthread の kill 時に子コルーチンの処理がクリーンアップされない問題を修正
    • エラーでリクエストを終了する前に、バッファリングされた出力が送出されない問題を修正
  • lua-resty-core（v0.1.35rc2 へアップグレード）
    • ngx.ssl.compress_certs() を追加
    • stream cosocket の getsslctx() が誤った FFI シンボルにバインドされていた問題を修正
    • sslhandshake のエラー処理、および FFI 実装の複数の不具合を修正
  • LuaJIT（v2.1-20261023 へアップグレード）
    • 空文（セミコロン）を任意の位置に記述可能にするなど、v3.0 の構文拡張の一部をバックポート
    • unpack() の JIT コンパイルに対応し、string.sub/string.byte で 1 文字を扱う頻出ケースを最適化
    • x64、ARM64、PPC、s390x、macOS、iOS、Windows など、各プラットフォームにおける多数の修正と最適化
    • プロファイラに関連する競合状態およびロックの問題を修正
    • FFI の ABI および呼び出し規約に関する各種修正
  • lua-resty-redis（v0.34 へアップグレード）
    • connect() に db、password、username、tcp_keepalive オプションを追加
    • hmget() の引数として table の指定に対応
    • トランザクション状態およびモジュールコマンド引数に関する問題を修正
  • lua-resty-openssl（v1.9.0 へアップグレード）
    • OpenSSL 4.0 に対応
    • 耐量子計算機暗号（PQC）の鍵操作に対応
  • その他のコンポーネントのアップグレード
    • lua-cjson を v2.1.0.20 へアップグレードし、エンコード時のオブジェクトキーをソートするオプションを追加
    • lua-resty-string を v0.19 へアップグレードし、md5.final_hex() メソッドを追加
    • resty-cli を v0.36 へアップグレードし、終了時に一時的な nginx prefix ディレクトリを残す --no-clean オプションを resty に追加
    • lua-resty-websocket を v0.16 へアップグレードし、ハンドシェイク検証とフレーム解析を強化。受信途中のフレームの受信再開にも対応
    • encrypted-session-nginx-module を v0.10 へアップグレードし、MAC の比較を定数時間で行うよう変更
    • lua-resty-dns を v0.24 へアップグレードし、不完全な DNS リソースレコードを拒否するよう修正
    • lua-resty-mysql を v0.31 へアップグレードし、caching_sha2 認証におけるパスワードスクランブルのインデックス計算を修正
    • ngx_devel_kit を v0.3.6 へアップグレードし、nginx 1.31.3 の complex value に対応
    • opm を v0.0.12 へアップグレード
    • set-misc-nginx-module を v0.34 へアップグレード
    • lua-resty-upstream-healthcheck を v0.10 へアップグレード
    • drizzle-nginx-module を v0.1.14 へアップグレード
    • lua-resty-memcached を v0.18 へアップグレード
    • ngx_postgres を v1.1 へアップグレード
    • headers-more-nginx-module を v0.40 へアップグレード
    • lua-resty-signal を v0.05 へアップグレード
    • echo-nginx-module を v0.65 へアップグレード
    • srcache-nginx-module を v0.34 へアップグレード
    • memc-nginx-module を v0.21 へアップグレード

セキュリティ修正

本バージョンでは、Nginx 1.31.2〜1.31.8 で修正された 12 件の CVE を取り込んでいます。最初に修正された Nginx のバージョンごとに示します。

  • 1.31.2
    • HTTP/3 における use-after-free（CVE-2026-42530）
    • HTTP/2 または gRPC のアップストリームへのプロキシ時のバッファオーバーフロー（CVE-2026-42055）
    • 文字セット変換における範囲外読み取り（CVE-2026-48142）
  • 1.31.3
    • 正規表現マッチを使用する map に関連するバッファオーバーフロー（CVE-2026-42533）
    • slice およびバックグラウンドキャッシュ更新における、初期化されていないメモリへのアクセスによるメモリ内容の漏えい（CVE-2026-60005）
    • SSI における use-after-free（CVE-2026-56434）
  • 1.31.6
    • OpenSSL 3.5.0 以前を使用する場合の、特定の設定における HTTP/3 のヒープバッファオーバーフロー（CVE-2026-90439）
  • 1.31.7
    • alias/rewrite 使用時のバッファオーバーフロー（CVE-2026-15176）
    • 変数を含む式の評価時のバッファオーバーフロー（CVE-2026-93479）
    • HTTP/3 におけるリクエストボディへのデータ注入（CVE-2026-95101）
    • TLS セッションチケットに関連するセッションの偽造（CVE-2026-97629）
    • AIO/SSI 使用時の use-after-free（CVE-2026-97205）

各脆弱性の詳細は Nginx 公式セキュリティアドバイザリをご覧ください。

完全な変更ログ

すべての変更内容、HTML 版の変更ログ、その他の関連リンクについては、リリースノート全文をご参照ください。

公式サイト

OpenResty は、強化版の Nginx コアと LuaJIT を統合したオープンソースの Web プラットフォームであり、OpenResty Inc. によってメンテナンスされています。さらに、多数のサードパーティ製 Nginx モジュールと Lua ライブラリ、およびそれらの大部分の外部依存関係も統合しており、完全かつ強力なネットワークソリューションを提供します。詳細は OpenResty 公式サイトをご覧ください。

https://openresty.org/

品質保証

Amazon EC2 テストクラスタ上で大規模なテストを実施し、Nginx コアを含むすべてのコンポーネントが適切に連携して動作することを確認しています。最新のテストレポートは以下でご確認いただけます。

https://qa.openresty.org/

商用版

OpenResty Inc. では、最新のオープンソース版をベースとした OpenResty を、自社のグローバル CDN ネットワーク（通称「ミニ CDN」）上で運用しています。このネットワークは openresty.org および openresty.com の Web サイトを支えるほか、商用ソフトウェアにも活用されています。詳細は https://openresty.com/ をご覧ください。

フィードバック

本バージョンに関するフィードバックをお待ちしております。GitHub issues で新しい issue を作成していただくか、メールでご連絡ください。