Alerte critique : deux NGINX de haute gravité Les erreurs Open Source permettent l'exécution de code à distance sans authentification (CVSS 9.2) et nécessitent un stationnement immédiat

F5 a publié des correctifs critiques pour deux défaillances de sécurité dans NGINX Open Source qui, dans certaines conditions, permettent l'exécution de code à distance sans authentification. Ce sont des vulnérabilités à haute gravité (CVSS 9.2) qui affectent les modules utilisés pour HTTP / 3 / QUIC et HTTP / 2 / gRPC proxy et devrait être considérée comme urgente par les équipes d'opérations et de sécurité qui gèrent les portes de liaison, les nageurs ou les conducteurs d'entrée basés sur NGINX.

La première vulnérabilité (CVE-2026-42530) est une utilisation after-free dans le module ngx _ http _ v3 _ qui peut être activé par HTTP / 3 sessions spécialement construites pour forcer la réouverture d'un flux QPACK. Le second (CVE-2026-42055) est un trop-plein de buffer qui affecte ngx _ http _ proxy _ v2 _ module et ngx _ http _ grpc _ module lorsque le trafic HTTP / 2 est propagé sous certaines directives et de très grandes tailles de buffer en-tête. Dans les deux cas, les scénarios d'exploitation permettent l'exécution de code à distance dans les systèmes où la protection ASLR est désactivée ou peut être tirée par l'agresseur, qui amplifie le risque dans les applications préconfigurées ou les images qui ne suivent pas le durcissement moderne.

F5 corrections publiées à appliquer dès que possible: NGINX Open Source a reçu des corrections dans les branches 1.30.x et 1.31.x (1.31.2 et 1.30.3 contiennent des correctifs), tandis que les éditions NGINX Plus et F5 ont des versions avec des correctifs équivalents. Des composants connexes tels que NGINX Gateway Fabric, Instance Manager, App Protect et Ingress drivers ont également été mis à jour dans les gammes concernées. Vérifiez les notes de sécurité officielles NGINX et les communications F5 pour confirmer la version spécifique qu'il s'applique à votre déploiement: Avis de sécurité NGINX et F5 Sécurité des produits.

Aucune mention publique de l'exploitation active ne doit conduire à la complaisance. L'histoire récente montre que les défaillances critiques de l'écosystème NGINX et F5 ont été exploitées en peu de temps après la divulgation publique, de sorte que les organisations doivent assumer un risque réaliste entre la publication et le stationnement de masse. Si votre instance NGINX est accessible depuis Internet ou est responsable du trafic API / gRPC, traitez-la comme une priorité absolue.

En ce qui concerne les mesures pratiques, il commence par identifier tous les points où NGINX est exécuté : applications physiques, machines virtuelles, conteneurs (surtout les pilotes d'entrée dans Kubernetes) et services gérés. Vérifiez les versions avec les mécanismes habituels (p. ex. nginx -v dans les systèmes lorsque c'est possible) et organisez un plan de déploiement de patch qui inclut des tests d'environnement de mise en scène pour éviter les régressions. Si le patch ne peut pas être appliqué immédiatement, il y a une atténuation temporaire: désactiver HTTP / 3 pour atténuer la défaillance dans le module QPACK et supprimer les en-têtes _ invalides _ hors configuration ou réduire la taille des grands tampons _ client _ en-tête _ sous 2 Mo pour réduire l'exposition au débordement dans le proxy / gRPC. Ces mesures d'atténuation devraient être mises en œuvre avec soin et testées, car elles peuvent affecter la compatibilité ou le rendement.

Au-delà du patching et de l'atténuation de la configuration, il surveille les signaux d'exploitation tels que les redémarrages inattendus, les processus nginx qui meurent après un trafic anormal, et les patrons d'en-tête ou les sessions QUIC / HTTP / 3 inhabituelles. Il met à jour les règles du WAF et des signatures IDS / IPS pour capter les tentatives d'abus, et maintient des politiques de réseau qui minimisent l'exposition publique des organismes gérés si ce n'est nécessaire. Si vous gérez les clusters Kubernetes, priorisez la mise à jour des contrôleurs d'entrée et examinez les images de base pour s'assurer que les protections ASLR et autres noyau sont activées sur les nœuds.

Si vous détectez des signes d'engagement, isolez l'instance touchée, capturez la mémoire et le renversement des processus d'analyse médico-légale, brisez les justificatifs connexes et envisagez de restaurer des images antérieures propres après l'enquête. De plus, il communique à l'interne le risque aux propriétaires d'applications et prévoit une leçon apprise afin d'éviter des dépendances inexploitées à l'avenir. Pour un contexte général sur la gestion de la vulnérabilité et les catalogues CVE, vous pouvez consulter des ressources de référence telles que MITRE: CVE - MITRE.

En bref, il agit rapidement : il identifie les actifs, valide les versions, corrige le plus tôt possible ou applique des mesures d'atténuation éprouvées, et renforce la détection et la réponse. La combinaison des défaillances d'exécution à distance et l'exploitation rapide de l'écosystème font de ces vulnérabilités un risque opérationnel réel qui nécessite une attention coordonnée entre les équipes de réseau, de plate-forme et de sécurité.