F5, üç kritik NGINX güvenlik açığı için yama yayımladı

F5, NGINX web sunucusu ürünlerindeki birden fazla güvenlik açığı için olağan takvimin dışında güvenlik yamaları yayımladı. Açıklara kritik önem derecesi verildi; ayrıcalığı olmayan uzaktaki saldırganlar, varsayılan olmayan yapılandırmalara sahip sistemlerde hizmet engelleme (DoS) saldırıları düzenleyebilir veya kod çalıştırabilir.

İki açık ngx_http_v3_module bileşenini (CVE-2026-15176 ve CVE-2026-97205), üçüncüsü ise NGINX map yönergesini (CVE-2026-93479) etkiliyor. Açıkların istismarı, NGINX çalışan sürecinde yığın tabanlı arabellek taşmasına veya serbest bırakılmış belleğin kullanımına yol açarak sürecin çökmesine ya da yeniden başlamasına neden olabilir. Adres Alanı Düzeni Rastgeleleştirmesi (ASLR) devre dışıysa veya aşılabiliyorsa kod çalıştırmak da mümkün olabilir.

Yamalar NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric ve NGINX Instance Manager ürünlerini kapsıyor. F5, güncellemeleri hemen yükleyemeyen yöneticiler için de önlemler açıkladı: İlk iki açıkta belirli yönerge veya değişkenlerden kaçınmak, CVE-2026-97205 için eşzamansız dosya G/Ç'sini (AIO) veya Sunucu Tarafı Eklemeleri'ni (SSI) devre dışı bırakmak, CVE-2026-93479 için ise adlandırılmamış yakalamalar yerine adlandırılmış yakalamalar kullanmak.

F5, bu açıkların gerçek saldırılarda kullanıldığını belirtmedi. Kaynağa göre ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Kasım 2021'den bu yana F5'e ait sekiz güvenlik açığını aktif olarak istismar edilen açıklar listesine aldı; bunların dördü fidye yazılımı saldırılarında da kullanıldı.