Das Unternehmen F5 hat ein dringendes und außerplanmäßiges (Out-of-band) Sicherheitspaket veröffentlicht, um eine Reihe von Sicherheitsanfälligkeiten im beliebten NGINX-Webserver zu beheben. Darunter befinden sich drei Schwachstellen mit kritischem Schweregrad, die Angreifern unter bestimmten Konfigurationsbedingungen die Möglichkeit geben, schädlichen Code auf anfälligen Systemen auszuführen.
Die drei kritischen Schwachstellen konzentrieren sich auf das Modul ngx_http_v3_module und tragen die Kennungen (CVE-2026-15176) und (CVE-2026-97205) sowie eine weitere Schwachstelle im Zusammenhang mit der NGINX map directive unter der Kennung (CVE-2026-93479). Aus den Details des technischen Berichts geht hervor, dass unbefugte Angreifer mit Netzwerkzugriff diese Schwachstellen ausnutzen können, um Denial-of-Service-Angriffe (DoS) durchzuführen oder eine Code-Ausführung in laufenden NGINX-Serverprozessen zu erreichen, insbesondere auf Systemen mit nicht-standardmäßigen Konfigurationen oder solchen, bei denen Schutztechniken wie Address Space Layout Randomization Bypass (ASLR) deaktiviert sind.
Betroffene Produkte und temporäre Abhilfemaßnahmen
Die Liste der von diesen Schwachstellen betroffenen Software umfasst mehrere Versionen und Hauptprodukte des Unternehmens, darunter NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric sowie NGINX Instance Manager. Falls Sicherheitsteams und Systemadministratoren die Software-Updates nicht sofort einspielen können, hat das Unternehmen temporäre Alternativen zur Risikominderung bereitgestellt:
- CVE-2026-15176: Kann abgemildert werden, indem die Verwendung der alias-Direktive innerhalb eines location-Blocks vermieden oder auf die Variable $request_filename verzichtet wird.
- CVE-2026-97205: Wird durch die Deaktivierung von Asynchronous File I/O (AIO) oder Server Side Includes (SSI) abgemildert.
- CVE-2026-93479: Kann vermieden werden, indem benannte Erfassungen (named captures) anstelle von unbenannten Erfassungen verwendet und diese ausschließlich auf Regex-Matching-Blöcke beschränkt werden.
Was ändert sich praktisch für Unternehmen?
Obwohl zum aktuellen Zeitpunkt keine aktiven Ausnutzungen dieser Schwachstellen bei Cyberangriffen im Feld beobachtet wurden, haben die Architektur von NGINX-Servern und zugehörigen Produkten diese in den letzten Jahren zu einem häufigen Ziel für staatlich unterstützte Bedrohungsakteure und Ransomware-Banden gemacht, da frühere Angriffe auf Unternehmensnetzwerke, die Kompromittierung von Geräten und den Abfluss sensibler Daten abzielten.