Разработчики F5 выпустили внеплановые патчи для нескольких уязвимостей в Nginx, включая три критические проблемы, которые при определенных условиях позволяют удаленно выполнить произвольный код.
В компании предупреждают, что два критических бага были обнаружены в ngx_http_v3_module и получили идентификаторы CVE-2026-15176 и CVE-2026-97205, а третья уязвимость, CVE-2026-93479, связана с директивой map.
Подчеркивается, что все три проблемы затрагивают системы с нестандартными конфигурациями (отличными от конфигурации по умолчанию) и доступны для эксплуатации удаленным атакующим без каких-либо привилегий. В результате злоумышленник получает возможность спровоцировать отказ в обслуживании (DoS), а в некоторых случаях добиться выполнения произвольного кода.
Согласно данным разработчиков, проблемы CVE-2026-15176 и CVE-2026-93479 могут привести к переполнению буфера хипа в рабочем процессе Nginx, а CVE-2026-97205 провоцирует ошибку типа use-after-free. В результате эксплуатация приводит к аварийному завершению или перезапуску процесса. Кроме того, во всех трех случаях возможна удаленная эксплуатация проблемы, ведущая к выполнению произвольного кода, если в системе отключена рандомизация адресного пространства (ASLR) или атакующему удастся обойти эту защиту.
Уязвимости затрагивают сразу несколько продуктов экосистемы, включая Nginx Plus, Nginx Open Source, Nginx Ingress Controller, Nginx Gateway Fabric и Nginx Instance Manager. Для всех них уже доступны исправления.
Пользователям, которые по каким-то причинам не могут сразу установить патчи, разработчики предлагают временные меры защиты:
- для защиты от CVE-2026-15176 рекомендуется не использовать директиву alias внутри блока location и переменную $request_filename;
- риск эксплуатации CVE-2026-97205 можно снизить, отключив AIO или Server Side Includes (SSI);
- в случае CVE-2026-93479 рекомендуется отказаться от позиционных выделений в регулярных выражениях и использовать вместо них именованные, причем только в том блоке конфигурации, где выполняется соответствующее сопоставление.
