F5 выпустила внеплановые патчи для критических уязвимостей NGINX

Компания F5 выпустила внеплановый набор обновлений безопасности, устраняющих несколько уязвимостей веб-сервера NGINX. Три из них отнесены к критическим: они могут позволить злоумышленнику выполнить произвольный код на уязвимой системе.

Где нашли проблемы

Две критические уязвимости обнаружены в модуле ngx_http_v3_module (CVE-2026-15176 и CVE-2026-97205), ещё одна — в обработке директивы map (CVE-2026-93479). Эксплуатировать их может удалённый атакующий без привилегий, но только на системах с нестандартной конфигурацией.

Успешная атака приводит к переполнению буфера в куче или к обращению к уже освобождённой памяти (use-after-free) в рабочем процессе NGINX. В большинстве случаев это оборачивается аварийным завершением или перезапуском процесса. Однако, как отмечает F5, при отключённой защите ASLR либо при возможности её обойти атакующий способен добиться выполнения кода.

Что обновить

Патчи выпущены для широкого набора продуктов: NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric и NGINX Instance Manager.

Если установить обновления немедленно невозможно, F5 предлагает временные меры. Для CVE-2026-15176 — отказаться от директивы alias внутри блока location и от переменной $request_filename. Для CVE-2026-97205 — отключить асинхронный ввод-вывод (AIO) или серверные включения (SSI). Для CVE-2026-93479 — использовать именованные группы захвата вместо безымянных, ограничив их тем блоком, где происходит сопоставление с регулярным выражением.

Почему это важно

Признаков эксплуатации в реальных атаках F5 пока не зафиксировала. Однако уязвимости в продуктах компании в последние годы регулярно становились мишенью как киберпреступников, так и спонсируемых государствами группировок: через них проникали в корпоративные сети, картографировали внутренние серверы, захватывали устройства, разворачивали вредоносное ПО для уничтожения данных и похищали документы.

С ноября 2021 года американское агентство CISA включило в список активно эксплуатируемых восемь уязвимостей F5, четыре из которых использовались в атаках с применением шифровальщиков. Год назад, в октябре 2025-го, F5 сообщила, что в августе того же года её системы взломали спонсируемые государством злоумышленники, похитившие исходный код и сведения о ещё не раскрытых уязвимостях BIG-IP.

F5 входит в список Fortune 500 и обслуживает более 23 тысяч клиентов, включая 80% компаний из Fortune Global 500 и 48 из 50 крупнейших корпораций Fortune.

Источник: Bleeping Computer