La société F5 a déployé un ensemble de correctifs de sécurité d'urgence et hors cycle (Out-of-band) pour remédier à plusieurs vulnérabilités découvertes dans le serveur web populaire NGINX, parmi lesquelles figurent trois failles de gravité critique donnant aux attaquants la possibilité d'exécuter du code malveillant sur les systèmes vulnérables sous certaines conditions de configuration.
Les trois vulnérabilités critiques se trouvent dans le module ngx_http_v3_module et portent les identifiants (CVE-2026-15176) et (CVE-2026-97205), en plus d'une autre faille liée à la directive de mise en correspondance NGINX map directive sous l'identifiant (CVE-2026-93479). Les détails du rapport technique indiquent que des attaquants non autorisés ayant un accès au réseau peuvent exploiter ces vulnérabilités pour mener des attaques par déni de service (DoS) ou parvenir à l'exécution de code dans les processus en cours d'exécution du serveur NGINX, en particulier sur les systèmes ayant des configurations non par défaut ou sur lesquels les techniques de protection telles que la désactivation de l'ALSR (Address Space Layout Randomization) sont désactivées.
Produits concernés et options d'atténuation temporaire
La liste des logiciels touchés par ces vulnérabilités comprend plusieurs versions et produits majeurs de l'entreprise, notamment NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric ainsi que NGINX Instance Manager. Si les équipes de sécurité et les administrateurs système ne peuvent pas appliquer immédiatement les mises à jour logicielles, la société a fourni des solutions de contournement temporaires pour atténuer les risques :
- Vulnérabilité CVE-2026-15176 : peut être atténuée en évitant d'utiliser la directive alias dans un bloc d'emplacement (location block) ou en se passant de la variable $request_filename.
- Vulnérabilité CVE-2026-97205 : est atténuée en désactivant les entrées/sorties de fichiers asynchrones (AIO) ou la fonctionnalité Server Side Includes (SSI).
- Vulnérabilité CVE-2026-93479 : peut être évitée en s'appuyant sur des captures nommées (named captures) au lieu de captures non nommées et en limitant leur utilisation exclusivement à un bloc de correspondance d'expressions régulières (regex).
Ce qui change concrètement pour les organisations ?
Bien qu'aucun cas d'exploitation active de ces vulnérabilités n'ait été détecté pour le moment dans le cadre d'attaques cybernétiques sur le terrain, l'architecture des serveurs NGINX et des produits associés en a fait une cible fréquente pour les acteurs de la menace parrainés par des États et les gangs de rançongiciels ces dernières années, les attaques précédentes ayant visé les réseaux d'entreprises, compromis des appareils et exfiltré des données sensibles.