F5 wydało poza harmonogramem poprawki bezpieczeństwa usuwające liczne błędy w serwerze webowym NGINX. Wśród nich znajdują się trzy podatności o krytycznym stopniu zagrożenia, które pozwalają na wykonanie kodu w systemach podatnych na ataki.
Szczegóły krytycznych podatności
Trzy krytyczne podatności znaleziono w module ngx_http_v3_module oraz dyrektywie NGINX map. Oznaczono je identyfikatorami CVE-2026-15176, CVE-2026-97205 oraz CVE-2026-93479.
Zdalni atakujący bez uprawnień mogą je wykorzystać do przeprowadzania ataków denial-of-service lub do uzyskania wykonania kodu w systemach NGINX z niestandardowymi konfiguracjami.
Skuteczne wykorzystanie powoduje przepełnienie bufora w stercie lub użycie po zwolnieniu w procesie roboczym NGINX, co prowadzi do awarii lub restartu. Atakujący mogą również wykonać kod w systemach z wyłączoną randomizacją układu przestrzeni adresowej lub gdy mogą ją ominąć.
Dotknięte produkty i metody obejścia
F5 wydało łatki bezpieczeństwa dla wielu produktów oprogramowania NGINX dotkniętych tymi dwoma podatnościami, w tym NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric oraz NGINX Instance Manager.
Zespoły ds. bezpieczeństwa i administratorzy, którzy nie mogą natychmiast zainstalować tych łatek bezpieczeństwa, mogą złagodzić CVE-2026-15176, nie używając dyrektywy alias w bloku location lub zmiennej $request_filename, a CVE-2026-97205 poprzez wyłączenie asynchronicznego we/wy plików lub Server Side Includes.
CVE-2026-93479 można również złagodzić, używając nazwanych przechwytywań zamiast nienazwanych i ograniczając ich użycie do bloku z dopasowaniem wyrażenia regularnego.
Kontekst zagrożeń i dotychczasowe incydenty
Chociaż F5 nie oznaczyło jeszcze tych problemów bezpieczeństwa jako wykorzystywanych na wolności, grupy cyberprzestępcze i sponsorowane przez państwa często wykorzystywały podatności w produktach F5 w ostatnich latach.
Atakujący celowali w luki w zabezpieczeniach F5, aby naruszać sieci korporacyjne, mapować serwery wewnętrzne, przejmować urządzenia, wdrażać złośliwe oprogramowanie niszczące dane i kraść poufne dokumenty od ofiar na całym świecie. Od listopada 2021 roku CISA oznaczyła osiem podatności F5 jako aktywnie wykorzystywane, z czego cztery były również nadużywane w atakach ransomware.