2026年4月10日、JavaScript の HTTP クライアントライブラリ Axios に CVSS 10.0（最高深刻度） のリモートコード実行（RCE）脆弱性 CVE-2026-40175 が公開された。Axios は npm で週間9,000万ダウンロード超を誇る超メジャーライブラリであり、Node.js・React・Vue・Next.js など JavaScript エコシステム全体に影響が及ぶ。

この脆弱性は Prototype Pollution を起点に RCE へエスカレーションし、さらに AWS IMDSv2 バイパスによるフルクラウド侵害まで可能にする深刻な攻撃チェーンだ。影響を受けるのは Axios v1.15.0 未満のすべてのバージョン。修正は v1.15.0 以降で提供されている。

自社で Node.js アプリケーションを運用している場合は、本日中に確認と対応を完了してほしい。

目次

  1. 脆弱性の概要
  2. 攻撃チェーンの全容——Prototype Pollution から クラウド全体侵害へ
  3. 影響範囲——あなたのプロジェクトは大丈夫か
  4. 緊急対応手順（4ステップ）
  5. AWS環境での追加対策
  6. 自社システム点検チェックリスト
  7. よくある質問（FAQ）

脆弱性の概要

項目内容
CVE番号CVE-2026-40175
CVSSスコア10.0（Critical） ——理論上の最高値
脆弱性の種類Prototype Pollution → リモートコード実行（RCE）
影響を受けるバージョンAxios v1.15.0 未満のすべてのバージョン
修正バージョンAxios v1.15.0 以降
公開日2026年4月10日
攻撃条件リモートから・認証不要・ユーザー操作不要
npmでの週間DL数9,000万超
CVSS 10.0 は「リモートから、認証なしで、完全にシステムを侵害可能」を意味する。過去に CVSS 10.0 を記録した脆弱性としては Log4Shell（CVE-2021-44228） が有名だが、Axios の利用規模を考えると同等以上の影響範囲を持つ可能性がある。

セクションまとめ： CVE-2026-40175 は CVSS 10.0 の最高深刻度。Axios v1.15.0 未満のすべてのバージョンが影響を受け、リモートから認証不要で完全侵害が可能だ。

攻撃チェーンの全容——Prototype Pollution から クラウド全体侵害へ

CVE-2026-40175 の真の危険性は、単一の脆弱性ではなく3段階の攻撃チェーンで被害が拡大する点にある。

第1段階：Prototype Pollution

攻撃者は Axios のレスポンスヘッダー処理に存在する不備を悪用し、JavaScript の `Object.prototype` を汚染する。具体的には、細工した HTTP レスポンスヘッダーにより、すべての JavaScript オブジェクトに不正なプロパティが注入される。

Prototype Pollution 自体は「オブジェクトのプロパティが予期せず上書きされる」という比較的地味な脆弱性に見えるが、今回はここから次の段階に繋がることが致命的だ。

第2段階：リモートコード実行（RCE）

汚染されたプロトタイプにより、Node.js の `child_process` モジュールや `eval` に相当する機能が悪用可能になる。攻撃者は任意の OS コマンドをサーバー上で実行できる状態になる。

このRCEは以下の形で悪用される。

  • サーバー上の環境変数（.env）の読み取り——データベース認証情報、APIキーの窃取
  • リバースシェルの確立——攻撃者がサーバーを遠隔操作
  • マルウェアのダウンロードと実行——永続的なバックドアの設置

第3段階：AWS IMDSv2 バイパスによるフルクラウド侵害

今回の脆弱性の最も深刻な側面は、AWS のインスタンスメタデータサービス（IMDS）v2 のセキュリティ機構をバイパスできる点だ。

通常、AWS IMDSv2 では、メタデータへのアクセスに特別なトークンヘッダーが必要であり、SSRF攻撃からの保護が図られている。しかし CVE-2026-40175 の RCE を経由した場合、サーバー内部からの正規のリクエストとして IMDS にアクセスできるため、IMDSv2 の保護が意味をなさなくなる。

攻撃者が取得できる情報は以下の通りだ。

取得可能な情報二次被害
IAMロールの一時認証情報S3バケット、RDS、DynamoDB等への不正アクセス
セキュリティグループの情報ネットワーク構成の把握、横展開の足がかり
インスタンスメタデータEC2の構成情報漏洩
ユーザーデータスクリプト初期化スクリプトに含まれる認証情報の窃取
結果として、1つの脆弱な Axios パッケージから、AWS 環境全体が侵害されるシナリオが現実的に成立する。

セクションまとめ： CVE-2026-40175 は Prototype Pollution → RCE → AWS IMDSv2 バイパスの3段階で被害が拡大する。最終的にクラウド環境全体が侵害されるリスクがある。

「自社のシステムで Axios を使っているか分からない」

Node.js アプリケーションの依存関係調査からパッチ適用、AWS 環境のセキュリティ監査まで一貫して対応しています。まずは現状のリスクを可視化しましょう。

脆弱性診断の無料相談を予約する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK

影響範囲——あなたのプロジェクトは大丈夫か

直接影響を受けるプロジェクト

Axios を直接または間接的に利用しているすべての Node.js プロジェクトが影響を受ける。具体的には以下のフレームワーク・ツールのプロジェクトだ。

フレームワーク/環境影響の可能性確認方法
Next.js高（APIルート、SSR処理でAxios利用が多い）`npm ls axios`
Nuxt.js高（@nuxtjs/axios が広く使われている）`npm ls axios`
React（CRA/Vite）中（API通信にAxios採用が多い）`npm ls axios`
Vue.js中（vue-axios等のラッパー経由）`npm ls axios`
Express/Fastify高（外部API呼び出しにAxios利用）`npm ls axios`
AWS Lambda（Node.js）高（デプロイパッケージ内にAxios含有）レイヤー・パッケージ確認
Electron アプリ中（バックエンド処理でAxios利用）`npm ls axios`

間接依存に注意

重要： 自社の `package.json` に `axios` を直接記載していなくても、他のライブラリの依存関係として Axios が含まれているケースが非常に多い。例えば、一部のHTTPクライアントラッパー、API SDK、テストユーティリティなどが内部でAxiosに依存している場合がある。

セクションまとめ： Node.js/React/Vue/Next.js などのJavaScriptプロジェクト全般に影響がある。直接依存だけでなく間接依存も含めて確認が必要だ。

緊急対応手順（4ステップ）

ステップ1：バージョン確認

まず、自社プロジェクトで使用している Axios のバージョンを確認する。

npm の場合：

yarn の場合：

pnpm の場合：

表示されたバージョンが 1.15.0 未満 であれば、脆弱性の影響を受ける。

ステップ2：アップデート

直接依存の場合：

更新後、再度 `npm ls axios` で v1.15.0 以上 になっていることを確認する。

間接依存（ネストした依存関係）の場合：

他のライブラリが古い Axios に依存している場合は、`package-lock.json` を削除して再インストールする。

ステップ3：依存関係全体の確認

Axios 以外にも脆弱な依存関係がないか、`npm audit` で一括チェックする。

Critical / High の脆弱性が検出された場合は、併せて対応する。

ステップ4：WAFルールの追加

アップデートに時間がかかる場合の暫定対策として、WAF（Web Application Firewall）でPrototype Pollutionの攻撃パターンをブロックするルールを追加する。

ブロックすべきパターン例：

  • HTTPレスポンスヘッダーに `__proto__` を含むリクエスト
  • リクエストボディに `constructor.prototype` を含むパターン

ただし、WAFルールは暫定対策であり、根本対策はAxiosのアップデートであることを忘れてはならない。

セクションまとめ： 緊急対応は「バージョン確認→アップデート→依存関係確認→WAFルール追加」の4ステップ。アップデートが根本対策であり、WAFは暫定措置だ。

AWS環境での追加対策

CVE-2026-40175 が AWS IMDSv2 バイパスを可能にする点を踏まえ、AWS 環境では以下の追加対策を実施すべきだ。

IMDSv2の強制化

EC2インスタンスのメタデータサービスをIMDSv2のみに制限する。これにより、IMDSv1経由のメタデータ取得を完全に遮断できる。

IAMロールの権限最小化

EC2インスタンスに付与するIAMロールは最小権限の原則に従い、必要最低限のアクセス権限のみを付与する。

対策内容
IAMロールの棚卸し不要な権限を削除、AdministratorAccess の排除
S3バケットポリシーパブリックアクセスの無効化、暗号化の強制
VPCエンドポイントS3・DynamoDB等のサービスへのアクセスをVPC内に限定
CloudTrailの有効化すべてのAPIコールをログに記録、異常検知に利用

セキュリティグループの見直し

Axiosの脆弱性を通じた横展開を防ぐため、セキュリティグループのアウトバウンドルールを最小限に絞る。

セクションまとめ： AWS環境ではAxiosアップデートに加え、IMDSv2の強制化、IAMロールの権限最小化、CloudTrailの有効化を実施すべきだ。

関連記事：ゼロトラストセキュリティ導入ガイド 関連記事：NIST CSF 2.0 実装ガイド

自社システム点検チェックリスト

以下の項目をチェックし、1つでも該当する場合は早急に対応が必要だ。

  • [ ] 自社で Node.js アプリケーションを運用している
  • [ ] `npm ls axios` で v1.15.0 未満 のバージョンが表示された
  • [ ] 間接依存を含めてすべての Axios のバージョンを確認した
  • [ ] Axios を v1.15.0 以上 にアップデートし、動作テストを完了した
  • [ ] `npm audit` を実行し、Critical / High の脆弱性がゼロであることを確認した
  • [ ] AWS 環境で IMDSv2 が強制 されていることを確認した
  • [ ] EC2 インスタンスの IAM ロール権限が最小限 であることを確認した
  • [ ] CI/CD パイプラインに `npm audit` を組み込み、自動的に脆弱性をチェックする仕組みがある
  • [ ] Dependabot / Renovate 等による依存関係の自動更新が有効になっている

よくある質問（FAQ）

Q1. フロントエンド（ブラウザ）でAxiosを使っている場合も影響を受けますか？

ブラウザ環境では Node.js の `child_process` モジュールが利用できないため、RCE への発展は困難です。ただし、Prototype Pollution 自体はブラウザ環境でも発生し得るため、XSS等の別の攻撃に繋がる可能性があります。バージョンの更新を推奨します。

Q2. AWS 以外のクラウド（GCP・Azure）でも影響がありますか？

はい。GCP のCompute Engine メタデータサービスや Azure の Instance Metadata Service（IMDS） でも同様のリスクがあります。RCE が確立された時点で、クラウドプロバイダーを問わずメタデータへのアクセスが可能です。

Q3. `npm audit fix` で自動修正できないのですが、どうすればいいですか？

間接依存のバージョン制約により `npm audit fix` では解決できない場合があります。その場合は、（1）`package-lock.json` を削除して `npm install` を再実行、（2）問題のある上位パッケージを最新版に更新、（3）`npm audit fix --force` を使用（破壊的変更の可能性あり、テスト必須）の順で対応してください。

Q4. Axiosの代わりにfetch APIを使えば安全ですか？

Node.js 18以降では標準の `fetch` API が利用可能であり、外部依存を減らすという意味で長期的な移行は検討に値します。ただし、現時点では Axios v1.15.0 へのアップデートで脆弱性は修正されるため、即座に移行する必要はありません。

参考情報

  • GitHub Advisory Database「CVE-2026-40175: Axios Prototype Pollution to RCE」（2026年4月10日）
  • npm Security Advisory「axios < 1.15.0」
  • NIST National Vulnerability Database「CVE-2026-40175」
  • AWS「Instance Metadata Service Version 2 (IMDSv2)」ドキュメント
  • Axios GitHub リポジトリ Release Notes v1.15.0

関連記事

Node.js/JavaScriptシステムの脆弱性診断はGXOにご相談ください

「Axiosのアップデートはしたが、他に見落としがないか不安」「npm audit の結果を読み解けない」「AWS環境のセキュリティ設定が適切か自信がない」——そんな課題をお持ちなら、脆弱性診断からCI/CDへの自動スキャン組み込みまで支援します。

脆弱性診断の無料相談を予約する

※ 営業電話はしません | オンライン対応可 | 相談だけでもOK