F5 NGINX: trei breșe critice, posibil RCE fără autentificare

La mijlocul lunii octombrie 2026, F5 a publicat corecții pentru mai multe vulnerabilități din NGINX, dintre care trei critice: CVE-2026-15176, CVE-2026-93479 și CVE-2026-97205, toate cu scorul CVSS 9.2 (CVSS v4.0, potrivit CSO Online). BleepingComputer și CSO Online vorbesc despre patch-uri în afara ciclului obișnuit (out-of-band). Un atacator de la distanță, fără autentificare, le poate exploata cu cereri HTTP construite special, dar numai cu configurații anume, diferite de cele implicite. Efectul sigur este oprirea sau repornirea procesului worker (denial of service); execuția de cod este posibilă dacă ASLR este dezactivat sau poate fi ocolit.

Potrivit BleepingComputer și CSO Online, F5 nu are dovezi de exploatare activă. Centre for Cybersecurity Belgium (CCB) a publicat un aviz care îndeamnă la actualizare imediată. Potrivit Security Affairs, în total au fost corectate unsprezece probleme: cifra apare doar la această publicație.

Produse afectate

Potrivit BleepingComputer și CSO Online: NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric și NGINX Instance Manager. Sursele nu indică versiunile vulnerabile și nici pe cele corectate: trebuie căutate în buletinele F5 pentru fiecare produs și, pentru NGINX Open Source instalat din pachetele unei distribuții Linux, în avizele distribuției.

Cele trei vulnerabilități

• CVE-2026-15176: heap buffer overflow în procesul worker. Apare în configurațiile care folosesc directiva alias într-un bloc location împreună cu variabila $request_filename.
• CVE-2026-93479: heap buffer overflow legat de directiva map. Potrivit Security Affairs, afectează configurațiile în care variabilele de captură ale expresiei regulate dintr-un map sunt folosite înaintea variabilei de ieșire a map, sau în care o variabilă care nu poate fi pusă în cache (non-cacheable) este folosită într-o expresie de tip șir, în anumite condiții.
• CVE-2026-97205: use-after-free potrivit Security Affairs, cu I/O asincron pe fișiere (AIO) activ, atunci când NGINX procesează pagini Server Side Includes (SSI) cu comenzi include virtual. Poate corupe memoria sau poate opri worker-ul.

Sursele nu sunt de acord asupra modulului: pentru Security Affairs, CVE-2026-97205 se află în ngx_http_core_module, CSO Online plasează acolo atât această vulnerabilitate, cât și CVE-2026-15176, în timp ce BleepingComputer le atribuie pe amândouă modulului ngx_http_v3_module (HTTP/3). În schimb, condițiile de configurare și măsurile de atenuare ale F5 sunt aceleași în toate sursele, iar din ele afli dacă un server este expus.

În termenii MITRE ATT&CK, exploatarea corespunde tehnicii T1190 (Exploit Public-Facing Application) și, pentru opririle repetate, T1499.004 (Endpoint Denial of Service: Application or System Exploitation). Sursele nu raportează indicatori de compromitere și nici exploit-uri publice pentru aceste trei breșe.

Impactul pentru companiile europene și italiene

NGINX funcționează ca reverse proxy, load balancer și ingress Kubernetes în fața unui număr uriaș de servicii web, iar TLS se termină adesea chiar acolo. Un analist citat de CSO Online subliniază că execuția de cod în acel punct ar expune în clar parole, cookie-uri de sesiune, tokenuri API și chei private. Chiar și fără execuție de cod, un worker care repornește continuu înseamnă servicii inaccesibile.

NGINX este adesea integrat în appliance-uri, imagini de containere și controllere de ingress, iar multe echipe îl instalează din distribuția Linux: potrivit aceluiași analist, Amazon Linux încă indica drept în așteptare corecția pentru AIO. Prin urmare, actualizarea publicată de F5 nu ajunge singură pe toate serverele. Tot potrivit CSO Online, acestea sunt cele mai recente dintr-o serie: în mai, CVE-2026-42945 („NGINX Rift”, în modulul rewrite) a apărut cu un proof of concept public de execuție de cod de la distanță, iar în iunie a urmat CVE-2026-42530 în ngx_http_v3_module.

Pentru entitățile NIS2, în special furnizorii de servicii digitale, de hosting și de servicii gestionate, cazul ține de gestionarea vulnerabilităților cu priorități și termene documentate; o întrerupere semnificativă cauzată de un atac trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN). În sănătate, NGINX publică adesea portaluri pentru pacienți și API-uri ale aplicațiilor clinice: verifică și acolo.

Ce să faci acum

1. Fă inventarul locurilor unde rulează NGINX: servere, containere, controllere de ingress și appliance-uri. nginx -V afișează versiunea și modulele compilate.
2. Verifică configurația efectivă cu nginx -T: caută alias împreună cu $request_filename, aio activ împreună cu ssi on și blocuri map cu capturi fără nume ($1, $2…).
3. Actualizează la versiunile corectate indicate de F5 pentru fiecare produs sau, pentru pachetele distribuției, imediat ce distribuția le pune la dispoziție. Prioritate au serverele expuse pe Internet care au configurațiile de la punctul 2.
4. Dacă nu poți actualiza imediat, aplică măsurile de atenuare ale F5 raportate de BleepingComputer și CSO Online:
   • CVE-2026-15176: evită directiva alias într-un bloc location sau variabila $request_filename;
   • CVE-2026-97205: dezactivează AIO sau SSI;
   • CVE-2026-93479: folosește capturi cu nume în locul celor fără nume și limitează-le utilizarea la blocul cu expresia regulată.
5. Verifică dacă ASLR este activ: pe Linux, cat /proc/sys/kernel/randomize_va_space trebuie să returneze 2. Potrivit F5, după cum relatează CSO Online, fără ASLR riscul de execuție de cod crește mult.
6. Urmărește repornirile worker-elor: linii repetate de tipul „worker process … exited on signal” în error log-ul NGINX pot indica încercări de exploatare. Rulează worker-ele cu un utilizator fără privilegii și separă rețeaua reverse proxy-ului de sistemele interne cele mai critice.

Cum ajută ARXDOME

Inventarul ARX Sentry listează software-ul, procesele și porturile fiecărui server cu agent, astfel încât găsești unde rulează NGINX. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, iar ARX Expose ce servicii publice ale companiei tale au vulnerabilități cunoscute: împreună te ajută să decizi cu ce servere să începi.

Ultima actualizare: 20 octombrie 2026