F5 har släppt patchar för tre kritiska NGINX-sårbarheter

F5 har släppt säkerhetspatchar utanför den ordinarie uppdateringscykeln för flera sårbarheter i företagets NGINX-webbserverprodukter. Tre har klassats som kritiska. Fjärrangripare utan behörighet kan orsaka överbelastningsattacker (DoS) eller köra kod på system med andra konfigurationer än standardinställningarna.

Två sårbarheter berör ngx_http_v3_module (CVE-2026-15176 och CVE-2026-97205), medan den tredje berör NGINX-direktivet map (CVE-2026-93479). Utnyttjande kan orsaka ett heapbaserat buffertöverskridande eller användning av frigjort minne i en NGINX-arbetarprocess, vilket kan leda till en krasch eller omstart. Kodkörning kan också vara möjlig om Address Space Layout Randomization (ASLR) är avstängt eller kan kringgås.

Patcharna gäller NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric och NGINX Instance Manager. F5 beskrev även åtgärder för administratörer som inte kan installera uppdateringarna direkt: undvik vissa direktiv eller variabler för de två första sårbarheterna, stäng av asynkron fil-I/O (AIO) eller Server Side Includes (SSI) för CVE-2026-97205 och använd namngivna i stället för onamngivna fångstgrupper för CVE-2026-93479.

F5 har inte uppgett att sårbarheterna har utnyttjats i verkliga attacker. Enligt källan har USA:s cybersäkerhets- och infrastruktursäkerhetsmyndighet (CISA) sedan november 2021 listat åtta F5-sårbarheter som aktivt utnyttjade; fyra av dem har också använts i utpressningsvirusattacker.