Kritische Warnung: zwei hochgradige NGINX Open Source-Fehler erlauben Remote-Code-Ausführung ohne Authentifizierung (CVSS 9.2) und benötigen sofortige Parkplätze

F5 hat kritische Patches für zwei Sicherheitsausfälle in NGINX Open Source veröffentlicht, die unter bestimmten Bedingungen die Ausführung von Remotecodes ohne Authentifizierung ermöglichen. Dies sind Schwere Schwachstellen (CVSS 9.2), die Module beeinflussen, die für HTTP / 3 / QUIC und HTTP / 2 / gRPC Proxy verwendet werden und sollte dringend von den Operationen und Sicherheitsteams betrachtet werden, die NGINX-basierte Verbindungstüren, Schwimmer oder Ingresstreiber verwalten.

Die erste Verwundbarkeit (CVE-2026-42530) ist eine nach-freie Verwendung im ngx _ http _ v3 _ Modul, das durch HTTP / 3 speziell gebaute Sitzungen aktiviert werden kann, um die Wiedereröffnung eines QPACK-Durchflusses zu zwingen. Der zweite (CVE-2026-42055) ist ein Heap-Puffer-Überlauf, der ngx _ http _ proxy _ v2 _ Modul und ngx _ http _ grpc _ Modul beeinflusst, wenn HTTP / 2 Verkehr unter bestimmten Richtlinien und sehr großen Header-Puffer-Größen propagiert wird. In beiden Fällen ermöglichen die Betriebsszenarien die Ausführung von Remotecodes in Systemen, in denen der ASLR-Schutz ist deaktiviert oder kann vom Angreifer gezogen werden, die das Risiko in vorkonfigurierten Anwendungen oder Bildern verstärkt, die nicht der modernen Härtung folgen.

F5 veröffentlichte Korrekturen, die so schnell wie möglich angewendet werden sollen: NGINX Open Source erhielt in den 1.30.x und 1.31.x Zweigen (1.31.2 und 1.30.3 enthalten Patches), während NGINX Plus und F5-managed Editionen Versionen mit äquivalenten Abhilfemaßnahmen haben. In den betroffenen Bereichen wurden auch entsprechende Komponenten wie NGINX Gateway Fabric, Instanz Manager, App Protect und Ingress Treiber aktualisiert. Überprüfen Sie die offiziellen NGINX Sicherheitshinweise und die F5-Kommunikation, um die spezifische Version zu bestätigen, die für Ihre Bereitstellung gilt: NGINX Sicherheitsberatung und F5 Produktsicherheit.

Keine öffentliche Erwähnung der aktiven Ausbeutung sollte nicht zu Konsequenz führen. Die jüngste Geschichte zeigt, dass kritische Ausfälle im Ökosystem NGINX und F5 in kurzer Zeit nach der öffentlichen Offenlegung ausgenutzt wurden, so dass Organisationen ein realistisches Risikofenster zwischen Publikation und Massenparken annehmen müssen. Wenn Ihre NGINX-Instanz aus dem Internet zugänglich ist oder für API / gRPC-Verkehr zuständig ist, behandeln Sie diese als oberste Priorität.

Was die praktischen Maßnahmen betrifft, so beginnt es, alle Punkte zu identifizieren, an denen NGINX betrieben wird: physische Anwendungen, virtuelle Maschinen, Container (insbesondere Ingress Treiber in Kubernetes) und verwaltete Dienste. Überprüfen Sie die Versionen mit den üblichen Mechanismen (z.B. nginx -v in Systemen, wo möglich) und organisieren Sie einen Patch-Bereitstellungsplan, der die Inszenierung von Umgebungstests beinhaltet, um Regressionen zu vermeiden. Wenn das Patch nicht sofort angewendet werden kann, gibt es vorübergehende Minderung: deaktivieren Sie HTTP / 3, um den Ausfall im QPACK-Modul zu mildern und die ignorieren _ invalid _ headers off-Konfiguration oder reduzieren Sie die Größe des großen _ Client _ header _ Puffer unter 2 MB, um die Überlauf-Exposition im Proxy / gRPC zu reduzieren. Diese Minderungen sollten sorgfältig durchgeführt und getestet werden, da sie die Kompatibilität oder Leistung beeinträchtigen können.

Über die Patching- und Konfigurationsbegrenzung hinaus überwacht sie Betriebssignale wie unerwartete Neuanfänger, nginx-Prozesse, die nach einem abnormalen Verkehr sterben, sowie Header-Muster oder ungewöhnliche QUIC / HTTP / 3 Sitzungen. Es aktualisiert die Regeln der WAF und der IDS / IPS-Signaturen, um Missbrauchsversuche zu erfassen und Netzwerkpolitiken zu pflegen, die die öffentliche Exposition von verwalteten Körpern minimieren, wenn nicht notwendig. Wenn Sie Kubernetes-Cluster verwalten, priorisieren Sie das Update der Ingress Controller und überprüfen Sie Basisbilder, um sicherzustellen, dass ASLR und andere Kernel-Schutz auf den Knoten aktiviert sind.

Wenn Sie Zeichen des Engagements erkennen, isolieren Sie die betroffene Instanz, erfassen Sie Speicher und Überwindung von Prozessen für forensische Analyse, brechen verwandten Anmeldeinformationen und betrachten die Wiederherstellung von sauberen früheren Bildern nach der Untersuchung. Darüber hinaus kommuniziert es intern das Risiko für Anwendungsinhaber und plant eine Lektion gelernt, um unpatched Abhängigkeiten in der Zukunft zu vermeiden. Für den allgemeinen Kontext des Sicherheitsmanagements und der CVE-Kataloge können Sie Referenzressourcen wie MITRE konsultieren: CVE - MITRE.

Kurz gesagt, handelt es sich schnell: Es identifiziert Vermögenswerte, validiert Versionen, Patches so schnell wie möglich oder wendet eine bewährte Minderung an und stärkt die Erkennung und Reaktion. Die Kombination von Fernausführungsausfällen und der vorherigen schnellen Ausbeutung im Ökosystem machen diese Schwachstellen zu einem realen operativen Risiko, das eine koordinierte Aufmerksamkeit zwischen Netzwerk-, Plattform- und Sicherheitsteams erfordert.