Pełnomocnik ds. cyberbezpieczeństwa
Szukaj

F5 wydał poza harmonogramem poprawki na trzy krytyczne podatności w NGINX

Rodzaj
Streszczenie
Data
Kategoria
Aktualności
Redakcja
Paweł Rosół
Źródło
BleepingComputer ()

F5 opublikował 14 października 2026 r. biuletyn poza harmonogramem z 11 podatnościami w produktach NGINX. Trzy są krytyczne i mogą prowadzić do awarii procesu lub wykonania kodu, ale źródła nie opisują ich wykorzystania w atakach.

F5 opublikował 14 października 2026 r. poza harmonogramem biuletyn bezpieczeństwa, który obejmuje 11 podatnościPodatność Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV. w produktach i komponentach NGINX. Trzy z nich są krytyczne: CVE-2026-15176, CVE-2026-97205 i CVE-2026-93479, każda z oceną 9.2 w skali CVSSCVSS Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.. Pozostałe osiem ma ocenę wysoką lub średnią. Poprawki wydano dla NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric i NGINX Instance Manager.

Według BleepingComputer zdalny atakujący bez uprawnień może wywołać odmowę usługi albo wykonać kod w systemach z niedomyślną konfiguracją. Skutkiem udanego ataku jest przepełnienie bufora na stercie lub użycie pamięci po zwolnieniu w procesie roboczym NGINX, co kończy się awarią lub restartem. Wykonanie kodu jest możliwe, gdy ASLR jest wyłączony albo atakujący potrafi go obejść. Źródła różnią się co do lokalizacji dwóch pierwszych błędów: BleepingComputer wskazuje moduł ngx_http_v3_module, a H-ISAC moduł ngx_http_core_module. Trzecia podatność dotyczy dyrektywy map z dopasowaniem wyrażeniem regularnym, które odwołuje się do zmiennych przechwytujących.

F5 nie oznaczył na razie tych błędów jako wykorzystywanych w atakach. BleepingComputer przypomina jednak, że grupy przestępcze i powiązane z państwami często wykorzystywały podatności w produktach F5. Od listopada 2021 r. CISACISA Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC. oznaczyła osiem takich podatności jako aktywnie wykorzystywane, a cztery z nich posłużyły także w atakach ransomwareRansomware Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.. H-ISAC zwraca uwagę, że NGINX często pełni rolę reverse proxy i bramy API, więc awaria procesu może przerwać dostęp do chronionych za nim systemów.

Jeśli używasz NGINX, ustal, które instancje działają w podmiocie, i sprawdź, czy dotyczą ich wydane poprawki. Gdy nie możesz ich od razu zainstalować, BleepingComputer podaje obejścia. Dla CVE-2026-15176 nie używaj dyrektywy alias w bloku location ani zmiennej $request_filename. Dla CVE-2026-97205 wyłącz asynchroniczne operacje plikowe (AIO) lub Server Side Includes (SSI). Dla CVE-2026-93479 użyj nazwanych przechwyceń zamiast nienazwanych i ogranicz ich użycie do bloku z dopasowaniem wyrażenia regularnego.

Źródła

Pojęcia w tym tekście (4)
Podatność
Słabość produktu lub usługi ICT, którą można wykorzystać do ataku. Znane podatności dostają identyfikatory CVE, a te wykorzystywane w atakach trafiają do katalogu KEV.
CVSS
Common Vulnerability Scoring System: skala od 0 do 10 opisująca techniczną powagę podatności. Wynik nie mówi, czy podatność jest już wykorzystywana w atakach.
CISA
Cybersecurity and Infrastructure Security Agency, amerykańska agencja ds. cyberbezpieczeństwa i infrastruktury. Prowadzi katalog KEV; nie jest organem w rozumieniu ustawy o KSC.
Ransomware
Złośliwe oprogramowanie, które szyfruje dane i żąda okupu za ich odszyfrowanie. Coraz częściej sprawcy także wykradają dane i grożą ich upublicznieniem.

Szkic tej wiadomości przygotował model językowy na podstawie źródeł zebranych ; tekst sprawdził i zatwierdził autor przed publikacją.