Компания F5 выпустила внеплановый экстренный пакет обновлений безопасности (Out-of-band) для устранения ряда уязвимостей, обнаруженных в популярном веб-сервере NGINX, в том числе трех уязвимостей критической степени опасности, которые при определенных настройках конфигурации дают злоумышленникам возможность выполнять вредоносный код в уязвимых системах.
Все три критические уязвимости сосредоточены в модуле ngx_http_v3_module и имеют идентификаторы (CVE-2026-15176) и (CVE-2026-97205), в дополнение к еще одной уязвимости, связанной с директивой маппинга NGINX map directive, под идентификатором (CVE-2026-93479). Согласно деталям технического отчета, неавторизованные злоумышленники, имеющие сетевой доступ, могут использовать эти уязвимости для проведения атак типа «отказ в обслуживании» (DoS) или выполнения кода в процессах работающего сервера NGINX, особенно в системах с неканоническими конфигурациями или в тех случаях, когда такие механизмы защиты, как рандомизация размещения адресного пространства (ASLR), отключены.
Затронутые продукты и временные варианты митигации
Список программного обеспечения, затронутого этими уязвимостями, включает несколько основных версий и продуктов компании, таких как NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric, а также NGINX Instance Manager. Если команды безопасности и системные администраторы не имеют возможности незамедлительно применить обновления ПО, компания предоставила временные альтернативные меры для снижения рисков:
- Уязвимость CVE-2026-15176: риски можно снизить, избегая использования директивы alias внутри блока location (location block) или отказавшись от переменной $request_filename.
- Уязвимость CVE-2026-97205: митигация достигается путем отключения асинхронного ввода-вывода файлов (AIO) или функции серверных включений (SSI).
- Уязвимость CVE-2026-93479: этого можно избежать, используя именованные захваты (named captures) вместо безымянных и ограничив их использование исключительно блоком сопоставления с регулярными выражениями (regex).
Что это меняет на практике для организаций?
Хотя в настоящее время в рамках реальных кибератак не зафиксировано случаев активной эксплуатации этих уязвимостей, архитектура серверов NGINX и связанных с ними продуктов в последние годы сделала их частой мишенью для поддерживаемых на государственном уровне киберпреступных группировок и банд вымогателей, поскольку предыдущие атаки были направлены на корпоративные сети, взлом устройств и кражу конфиденциальных данных.