F5 выпустила патчи для трёх критических уязвимостей NGINX
F5 устранила ошибки в продуктах на базе NGINX. При нестандартных настройках удалённая атака без привилегий может привести к отказу в обслуживании или выполнению кода.
Две уязвимости обнаружили в модуле ngx_http_v3_module: CVE-2026-15176 и CVE-2026-97205. Третья, CVE-2026-93479, связана с директивой map. Успешная атака может вызвать в рабочем процессе NGINX переполнение буфера в куче или обращение к уже освобождённой памяти. Это может привести к сбою или перезапуску сервера. Выполнение кода возможно на системах с отключённой ASLR, а также если атакующему удастся обойти эту защиту.
Исправления доступны для NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric и NGINX Instance Manager. Если установить обновления сразу нельзя, F5 перечислила временные меры защиты для каждой уязвимости.
- CVE-2026-15176: не использовать директиву alias в блоке location и переменную $request_filename.
- CVE-2026-97205: отключить асинхронный ввод-вывод файлов (AIO) или SSI.
- CVE-2026-93479: заменить безымянные захваты именованными и использовать их только в блоке с соответствующим регулярным выражением.
F5 не сообщала об эксплуатации этих уязвимостей в реальных атаках. С ноября 2021 года Агентство кибербезопасности и защиты инфраструктуры США (CISA) включило в список активно используемых восемь уязвимостей F5. Четыре из них применялись и в атаках с программами-вымогателями. В октябре 2025 года компания также сообщила, что в августе того года поддерживаемые государством злоумышленники проникли в её системы и похитили исходный код и сведения о нераскрытых уязвимостях BIG-IP.
Blue Report 2026 сообщает, что после получения действительных учётных данных блокируются лишь 37% действий злоумышленников. Отчёт оценивает защиту по отдельным техникам на основе 338 млн симуляций, проведённых в рабочих средах клиентов.
