Alerta crítico: duas falhas de alta severidade no NGINX Open Source permitem execução remota de código sem autenticação (CVSS 9.2) e requerem adesivo imediato

F5 publicou adesivos críticos para duas falhas de segurança no NGINX Open Source que, em determinadas condições, permitem a execução remota de código sem necessidade de autenticação. Trata-se de vulnerabilidades de gravidade alta (CVSS 9.2) que afetam módulos usados para HTTP/3/QUIC e para o proxy de HTTP/2/gRPC, e devem ser consideradas urgentes pelos equipamentos de operações e segurança que gerem portas de ligação, balanceadores ou controladores Rendimentos baseados na NGINX.

A primeira vulnerabilidade (CVE-2026-42530) é um use-after-free no módulo ngx_http_v3_module que pode ser ativado por sessões HTTP/3 especialmente construídas para forçar a reapertura de um fluxo QPACK. A segunda (CVE-2026-42055) é um excesso de búfer em heap que afeta ngx_http_proxy_v2_module e ngx_http_grpc_module quando se proxifica tráfego HTTP/2 sob certas directivas e tamanhos de buffer de cabeçalhos muito grandes. Em ambos os casos, os cenários de exploração permitem execução remota de código em sistemas onde a proteção ASLR está desativada ou pode ser sorteada pelo atacante, o que amplifica o risco em appliances ou imagens preconfiguradas que não seguem as hardening modernos.

F5 publicou correcções que devem ser aplicadas logo que antes: NGINX Open Source recebeu fixes nos ramos 1.30.x e 1.31.x (a 1.31.2 e a 1.30.3 contêm os adesivos), enquanto a NGINX Plus e as edições geridas por F5 têm versões equivalentes. Também foram atualizados componentes relacionados como NGINX Gateway Fabric, Instance Manager, App Protect e controladores Ingress nos intervalos afetados. Veja as notas de segurança oficiais da NGINX e as comunicações da F5 para confirmar a versão concreta que aplica à sua implantação: NGINX security advisories e F5 Product Security.

Que não haja menções públicas de exploração activa não deve levar à complacência. A história recente mostra que falhas críticas no ecossistema NGINX e F5 foram aproveitadas em pouco tempo após a sua divulgação pública, pelo que as organizações devem assumir uma janela de risco realista entre publicação e adesivo em massa. Se a sua instância NGINX for acessível da Internet ou se encarrega de tráfego de API/gRPC, trátala como prioridade máxima.

Quanto a medidas práticas, começa por identificar todos os pontos onde o NGINX é executado: appliances físicos, máquinas virtuais, contêineres (especialmente controladores Ingress em Kubernetes) e serviços gerenciados. Verifique as versões com os mecanismos habituais (por exemplo, nginx - v em sistemas onde for possível) e organiza um plano de implantação de sistemas que inclua testes em ambiente de staging para evitar regresões. Se o adesivo não puder ser aplicado imediatamente, existem atenuações temporárias: desactivar o HTTP/3 para atenuar a falha no módulo QPACK e retirar a configuração ignore_ invalid_headers off ou reduzir o tamanho darge_client_header_buffers abaixo de 2 MB para reduzir a exposição do excesso no proxy/gRPC. Essas atenuações devem ser implementadas com cuidado e testadas, porque podem afetar compatibilidade ou desempenho.

Para além do adesivo e mitigação de configuração, monitoriza sinais de exploração como reinícios inesperados, processos nginx que morrem após tráfego anormal, e padrões de cabeçalhos ou sessões QUIC/HTTP/3 invulgares. Actualiza as regras do WAF e as assinaturas IDS/IPS para captar tentativas de abuso, e mantenha políticas de rede que minimizem a exposição pública de instâncias administradas se não for necessário. Se você administra clusters Kubernetes, prioriza a atualização de Rendimentos Controllers e revisa imagens base para garantir que o ASLR e outras proteções do kernel estejam habilitadas nos nós.

Se você detectar sinais de compromisso, isola a instância afetada, captura memória e acabamento de processos para análise forense, rota credenciais vinculadas e considera restaurar de imagens anteriores limpas após a pesquisa. Além disso, comunica internamente o risco a proprietários de aplicações e planeia uma lição aprendida para evitar dependências não corrigidas no futuro. Para contexto geral sobre gestão de vulnerabilidades e catálogos CVE, você pode consultar recursos de referência como MITRE: CVE - MITRE.

Em resumo, age rapidamente: identifica ativos, valida versões, sistema transdérmico o mais rapidamente possível ou aplica mitigações testadas e reforça a detecção e resposta. A combinação de falhas de execução remota e a exploração rápida anterior no ecossistema tornam estas vulnerabilidades um risco operacional real que requer atenção coordenada entre equipamentos de redes, plataformas e segurança.