Duas vulnerabilidades críticas no NGINX Open Source foram corrigidas pela F5 nesta semana. As falhas permitem execução remota de código em sistemas vulneráveis, sem necessidade de autenticação. O problema atinge principalmente módulos que lidam com HTTP/3 e proxy, impactando também outros produtos da linha, como NGINX Plus e Ingress Controller.
As falhas receberam a classificação de gravidade 9,2 na escala CVSS v4. A primeira envolve o módulo ngx_http_v3_module e foi definida como use-after-free, um erro de acesso à memória liberada. A segunda é um heap-based buffer overflow, atingindo ngx_http_proxy_v2_module e ngx_http_grpc_module.
As vulnerabilidades surgem em cenários específicos de configuração. A falha do HTTP/3 ocorre quando o NGINX Open Source utiliza o módulo QUIC e um atacante pode reabrir um stream do encoder QPACK por meio de uma sessão HTTP/3 especialmente criada. A exploração depende do ASLR estar desativado ou de contorno à proteção.
Ações e impactos
A F5 comunicou correções para várias versões do NGINX Open Source, incluindo 1.31.2 e 1.30.3, conforme a versão instalada. Além disso, produtos como NGINX Plus, NGINX Gateway Fabric, NGINX Instance Manager, NGINX Ingress Controller e as versões WAF/DoS do NGINX App Protect receberam atualizações de segurança.
O CVE-2026-42055 envolve também uma condição de exploração que requer três itens simultâneos: configuração da proxy_http_version como 2, uso de grpc_pass para proxy de HTTP/2 e a diretiva ignore_invalid_headers desativada, com large_client_header_buffers acima de 2 MB. A presença de ASLR desativado amplia o risco.
Medidas de mitigação
Para quem não atualizou, a F5 recomenda medidas temporárias. No CVE-2026-42530, desative o suporte a HTTP/3 no servidor. No CVE-2026-42055, remova a diretiva ignore_invalid_headers off ou reduza o tamanho de large_client_header_buffers para menos de 2 MB. Tais ações reduzem a exposição até a aplicação das correções oficiais.
A empresa afirma que ainda não houve confirmação de exploração ativa das duas vulnerabilidades até o momento da publicação. Diversos ataques anteriores já atingiram produtos da linha NGINX, o que eleva a preocupação entre administradores e equipes de segurança.
Contexto técnico
A vulnerabilidade use-after-free ocorre quando o sistema acessa memória já liberada, gerando potential falhas de segurança. Já o overflow de heap envolve estouro de memória destinada ao heap, abrindo caminho para execução de código malicioso. Ambos exigem condições específicas de configuração para serem explorados.
Especialistas destacam que a correção abrange diversas plataformas da linha NGINX, não apenas o NGINX Open Source, o que reforça a necessidade de aplicá-la em ambientes que utilizam NGINX Plus, Ingress Controller e outros componentes conectados.
Entre na conversa da comunidade