A F5 lançou um pacote de correções de segurança de emergência e fora do cronograma habitual (Out-of-band) para tratar várias vulnerabilidades de segurança descobertas no popular servidor web NGINX, incluindo três falhas de gravidade crítica que dão aos atacantes a capacidade de executar código malicioso nos sistemas afetados sob determinadas condições de configuração.
As três vulnerabilidades críticas estão localizadas no módulo ngx_http_v3_module e possuem os códigos (CVE-2026-15176) e (CVE-2026-97205), além de outra falha associada à diretiva de mapeamento do NGINX map directive sob o código (CVE-2026-93479). Detalhes do relatório técnico indicam que atacantes não autorizados e com acesso à rede podem explorar essas falhas para realizar ataques de negação de serviço (DoS) ou conseguir a execução de código em processos ativos do servidor NGINX, especialmente em sistemas com configurações não padrão ou onde técnicas de proteção, como a aleatorização do layout do espaço de endereços (ASLR), estejam desativadas.
Produtos afetados e opções de mitigação temporária
A lista de softwares afetados por estas vulnerabilidades inclui várias versões e produtos principais da empresa, nomeadamente NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric e NGINX Instance Manager. Caso as equipes de segurança e os administradores de sistemas não consigam aplicar as atualizações de software imediatamente, a empresa disponibilizou alternativas temporárias para mitigar o risco:
Vulnerabilidade CVE-2026-15176: pode ser mitigada evitando o uso da diretiva alias dentro de um bloco de localização (location block) ou dispensando a variável $request_filename.
Vulnerabilidade CVE-2026-97205: é mitigada desativando a entrada e saída assíncrona de arquivos (AIO) ou o recurso Server Side Includes (SSI).
Vulnerabilidade CVE-2026-93479: pode ser evitada confiando em capturas nomeadas (named captures) em vez de capturas não nomeadas e limitando seu uso estritamente ao bloco de correspondência de expressões regulares (regex).
O que muda na prática para as organizações?
Embora não tenham sido registados casos de exploração ativa destas vulnerabilidades até ao momento em ataques cibernéticos de campo, a arquitetura dos servidores NGINX e produtos relacionados tornou-os um alvo frequente de grupos de ameaças cibernéticas patrocinados por estados e gangues de ransomware nos últimos anos, onde ataques anteriores tiveram como alvo redes corporativas, intrusão em dispositivos e exfiltração de dados sensíveis.