Az F5 soron kívüli frissítéseket adott ki három kritikus NGINX hiba javítására. Mindegyik hitelesítés nélkül, távolról kihasználható, de csak meghatározott, nem alapértelmezett konfigurációkban. A legrosszabb esetben memóriakorrupció vagy kódfuttatás is előfordulhat.
A CVE-2026-15176 és a CVE-2026-93479 heap-alapú puffertúlcsordulás, a CVE-2026-97205 pedig use-after-free hiba. Mindegyik az NGINX worker folyamatát érinti, és szolgáltatáskimaradást, memóriakorrupciót vagy akár kódfuttatást okozhat.
A CVE-2026-15176 az ngx_http_core_module-ban található. Akkor releváns, ha egy location blokkban az alias mellett rewrite is van, és egy set, return vagy access-log formátum hivatkozik a $request_filename változóra. Ilyenkor egy speciálisan kialakított HTTP kérés heap-puffertúlcsordulást okozhat.
A CVE-2026-97205 szintén az ngx_http_core_module-ban van, és akkor merül fel, ha az AIO engedélyezett, valamint egy include virtual utasítást tartalmazó SSI oldalt dolgoz fel a szerver. A hiba use-after-free típusú, ami worker összeomláshoz vagy memóriakorrupcióhoz vezethet.
A CVE-2026-93479 a regexet használó map direktívához kapcsolódik. Ha a root direktíva vagy az access-log formátum a map regex capture változóit a map kimeneti változója előtt használja, puffertúlcsordulás váltható ki.
Mindhárom hiba DoS-t okozhat, és a gyártó szerint lehetséges kódfuttatás is. A kódfuttatás azonban nem automatikus, főleg akkor valósulhat meg, ha az ASLR ki van kapcsolva, vagy a támadó meg tudja kerülni azt.
Fontos, hogy a hibák kizárólag a data plane-et érintik, a vezérlőfelület (control plane) nem érhető el ezen támadás révén.
A javítások több NGINX-alapú F5 terméket is érintenek, de nem mindegyiket minden hibánál. Az NGINX Plus és az NGINX Open Source mindhárom CVE szempontjából érintett, míg az NGINX Instance Manager, NGINX Gateway Fabric, NGINX Ingress Controller, F5 WAF for NGINX és F5 DoS for NGINX főként a CVE-2026-93479 és a CVE-2026-15176 esetében, verziófüggő módon.
Nyílt forráskódú NGINX esetén a javított kiadások jellemzően a 1.30.6 és 1.31.7. NGINX Plus esetén többek között a 37.0.5.1 és 37.1.0.1 tartalmazza a javítást.
Elsődleges megoldás a javított verzióra való frissítés. Ha ez nem lehetséges azonnal, az F5 konkrét enyhítéseket javasol. A CVE-2026-15176 esetében az alias direktíva location blokkban, és a $request_filename változó használata kerülendő. A CVE-2026-97205-nél javasolt az AIO letiltása, vagy ne szolgáljon ki SSI oldalakat. A CVE-2026-93479-nél névtelen regex capture-ök használata kerülendő. Helyettük a named capture-t alkalmazása és korlátozása javasolt arra a blokkra, amelyben a regex illeszkedés történik.
Az F5 egyelőre nem jelölte e hibákat aktívan kihasználtként. Ugyanakkor az F5 termékek múltbeli kihasználtsága, valamint az, hogy a támadó nem igényel hitelesítést, indokolttá teszi a gyors frissítést.
A gyakorlati ellenőrzéshez érdemes az NGINX konfigurációban konkrétan rákeresni a location … alias, $request_filename, aio, ssi, include virtual, valamint regexes map és capture változók együttes használatára. Ha ezek közül bármelyik megtalálható, a rendszer akkor is érintett lehet, ha alapból nem HTTP/3-at használ.
Az F5 biztonsági közleményei az alábbi linken érhetőek el: