F5 şirketi, popüler NGINX web sunucusunda keşfedilen ve aralarında saldırganlara belirli yapılandırma koşulları altında etkilenen sistemler üzerinde zararlı kod çalıştırma olanağı tanıyan üç kritik dereceli zafiyetin de bulunduğu bir dizi güvenlik açığını gidermek için olağan dışı bir zamanlamayla (Out-of-band) acil güvenlik yaması paketi yayınladı.
Kritik öneme sahip bu üç zafiyet ngx_http_v3_module modülünde yoğunlaşmakta olup (CVE-2026-15176) ve (CVE-2026-97205) kodlarıyla anılmakta; bunlara ek olarak NGINX map directive (NGINX harita yönergesi) ile bağlantılı (CVE-2026-93479) kodlu bir başka zafiyet daha bulunmaktadır. Teknik raporun detaylarına göre, ağ erişimine sahip yetkisiz saldırganlar bu zafiyetleri kötüye kullanarak hizmet reddi (DoS) saldırıları gerçekleştirebilir veya özellikle varsayılan olmayan yapılandırmalara sahip ya da Adres Alanı Düzeni Rastgeleleştirme (ASLR) atlatma gibi koruma teknolojilerinin devre dışı olduğu sistemlerde NGINX sunucu işlemlerinde kod çalıştırabilirler.
Etkilenen Ürünler ve Geçici Azaltma Seçenekleri
Bu zafiyetlerden etkilenen yazılım listesi, şirketin NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric ve NGINX Instance Manager dahil olmak üzere birçok ana sürümünü ve ürününü kapsamaktadır. Güvenlik ekiplerinin ve sistem yöneticilerinin yazılım güncellemelerini derhal uygulayamaması durumunda şirket, risklerin şiddetini azaltmak için geçici alternatifler sunmuştur:
- CVE-2026-15176 Zafiyeti: Konum bloğu (location block) içinde alias yönergesinin kullanımından kaçınılarak veya $request_filename değişkeni devre dışı bırakılarak azaltılabilir.
- CVE-2026-97205 Zafiyeti: Asenkron dosya girişi ve çıkışının (AIO) veya Sunucu Tarafından Dahil Etme (SSI) özelliğinin devre dışı bırakılmasıyla hafifletilir.
- CVE-2026-93479 Zafiyeti: İsolsunlu yakalamalar (unnamed captures) yerine isimlendirilmiş yakalamaların (named captures) tercih edilmesi ve bunların kullanımının yalnızca normal ifade (regex) eşleştirme bloğuyla sınırlandırılmasıyla önlenebilir.
Kurumlar İçin Pratikte Ne Değişiyor?
Saha siber saldırılarında şu anda bu zafiyetlerin aktif olarak istismar edildiği vakalar tespit edilmemiş olsa da, NGINX sunucularının ve bunlarla ilişkili ürünlerin mimarisi, son yıllarda bunları devlet destekli siber tehdit aktörlerinin ve fidye yazılımı çetelerinin hedefleri haline getirmiştir; nitekim geçmişteki saldırılar şirket ağlarını hedef almış, cihazların ele geçirilmesine ve hassas verilerin sızdırılmasına yol açmıştır.