F5 випустила позапланові патчі для критичних вразливостей NGINX
F5 оприлюднила позачергові оновлення безпеки для NGINX, що закривають кілька вразливостей, серед них три критичні з ризиком віддаленого виконання коду на системах із нестандартними конфігураціями.
F5 випустила позапланові оновлення безпеки для NGINX, усунувши низку вразливостей, включно з трьома критичними, які дають змогу віддаленим зловмисникам без привілеїв спричинити відмову в обслуговуванні або виконати код на системах із нетиповими налаштуваннями.
Які вразливості закрито
За даними компанії, критичні проблеми знайдені в модулі ngx_http_v3_module (CVE-2026-15176 і CVE-2026-97205) та директиві map (CVE-2026-93479). Їхня експлуатація може спричинити переповнення купи або use-after-free в робочому процесі NGINX, що веде до збоїв або перезапуску. За певних умов зловмисники також можуть досягти виконання коду — якщо ASLR вимкнено або його вдається обійти.
Поки що F5 не фіксувала випадків експлуатації в реальних умовах.
Які продукти постраждали
Патчі випущені для низки продуктів: NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric і NGINX Instance Manager. Компанія закликає адміністраторів якнайшвидше встановити оновлення або застосувати тимчасові обхідні заходи.
Обхідні заходи для тих, хто не може негайно встановити оновлення
- Для CVE-2026-15176: не використовувати директиву alias у блоці location або змінну $request_filename.
- Для CVE-2026-97205: вимкнути асинхронне введення/виведення файлів (AIO) або Server Side Includes (SSI) — тобто включення файлів на боці сервера (SSI).
- Для CVE-2026-93479: застосовувати іменовані захоплення замість неіменованих і обмежити їх використання межами блоку відповідності регулярному виразу.
Контекст загроз
Останніми роками кіберзлочинні та державні угруповання не раз зловживали вадами в продуктах F5 — для проникнень у корпоративні мережі, сканування внутрішніх серверів, захоплення пристроїв, знищення даних і викрадення документів. З листопада 2021 року CISA позначила вісім вразливостей F5 як активно експлуатовані, з яких чотири використовувалися у атаках із програмами-вимагачами.
У жовтні 2025 року F5 повідомила, що її системи зламали в серпні 2025 року: зловмисники викрали вихідний код і інформацію про невідомі вразливості BIG-IP. F5 — компанія зі списку Fortune 500, яка надає сервіси кібербезпеки та доставки застосунків понад 23 000 клієнтам, включно з 80% Fortune Global 500 і 48 компаніями зі списку Fortune 50.
Фото: BleepingComputer
