Kritische NGINX-Sicherheitslücken veranlassen F5 zu dringenden Sicherheitsupdates

F5 hat dringende Sicherheitsupdates veröffentlicht, um kritische NGINX-Sicherheitslücken zu beheben, die es Angreifern aus der Ferne ermöglichen könnten, anfällige Server zum Absturz zu bringen oder Code auszuführen. Die drei schwerwiegendsten Schwachstellen betreffen Systeme mit bestimmten Konfigurationen, die nicht den Standardeinstellungen entsprechen.

Angreifer benötigen keine bestehenden Berechtigungen, um diese Schwachstellen auszunutzen. Die Ausführung von Code hängt jedoch von zusätzlichen Bedingungen ab, darunter der Möglichkeit, Speicherschutzmechanismen zu umgehen.

Drei Schwachstellen betreffen die Verarbeitung von Anfragen

Zwei kritische Schwachstellen, CVE-2026-15176 und CVE-2026-97205, betreffen das Modul ngx_http_v3_module. Die dritte Schwachstelle, CVE-2026-93479, betrifft die NGINX-Direktive map.

Eine erfolgreiche Ausnutzung kann einen Heap-basierten Pufferüberlauf oder einen Use-after-free-Fehler in einem NGINX-Worker-Prozess auslösen. Dadurch könnte der Prozess abstürzen oder neu starten, was den Dienst beeinträchtigen würde.

Die möglichen Auswirkungen gehen jedoch über Ausfallzeiten hinaus. Laut F5 könnten Angreifer Code ausführen, wenn Address Space Layout Randomization auf einem System deaktiviert ist oder sie diesen Schutz umgehen können.

ASLR macht Speicheradressen weniger vorhersehbar und erschwert dadurch die Ausnutzung von Schwachstellen. Daher bedeutet eine anfällige Konfiguration nicht automatisch, dass ein Angreifer Code ausführen kann.

Updates umfassen mehrere NGINX-Produkte

F5 hat Sicherheitspatches für betroffene Produkte seines NGINX-Portfolios veröffentlicht. Dazu gehören NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric und NGINX Instance Manager.

Die Gefährdung hängt jedoch vom jeweiligen Produkt und seiner Konfiguration ab. Die kritischen Schwachstellen betreffen bestimmte Einstellungen und nicht jede NGINX-Installation mit Standardkonfiguration.

Administratoren sollten die entsprechenden Sicherheitshinweise für ihre Produkte prüfen, um festzustellen, welche Updates für ihre Installationen erforderlich sind. Außerdem sollten sie aktivierte Funktionen und Konfigurationsdirektiven untersuchen, um das Risiko einzuschätzen.

Vorübergehende Schutzmaßnahmen betreffen bestimmte Konfigurationen

Für Teams, die die Updates nicht sofort installieren können, hat F5 Konfigurationsänderungen beschrieben, mit denen sich das Risiko durch die kritischen NGINX-Sicherheitslücken verringern lässt.

Bei CVE-2026-15176 besteht die Schutzmaßnahme darin, die Direktive alias innerhalb eines location-Blocks sowie die Variable $request_filename zu vermeiden.

Administratoren können CVE-2026-97205 hingegen entschärfen, indem sie asynchrone Datei-Ein-/Ausgabe, bekannt als AIO, oder Server Side Includes, bekannt als SSI, deaktivieren.

Für CVE-2026-93479 empfiehlt F5, unbenannte Erfassungsgruppen durch benannte Erfassungsgruppen zu ersetzen. Administratoren sollten deren Verwendung außerdem auf den Block beschränken, der die Übereinstimmung mit dem regulären Ausdruck enthält.

Diese Maßnahmen beheben die Risiken bestimmter anfälliger Konfigurationen. Dennoch sollten Teams weiterhin die Installation der entsprechenden Sicherheitsupdates einplanen.

Zum Zeitpunkt der Veröffentlichung keine aktive Ausnutzung gemeldet

Zum Zeitpunkt des Berichts hatte F5 keine aktive Ausnutzung dieser Schwachstellen festgestellt. Frühere Angriffe auf F5-Produkte liefern jedoch einen Grund, die Updates zu priorisieren.

Sowohl cyberkriminelle Gruppen als auch staatlich unterstützte Angreifer haben bereits frühere Schwachstellen in F5-Produkten ausgenutzt. Diese Vorfälle umfassten Einbrüche in Unternehmensnetzwerke, die Übernahme von Geräten und den Diebstahl sensibler Daten.

Seit November 2021 hat CISA acht F5-Schwachstellen in seinen Known Exploited Vulnerabilities-Katalog aufgenommen. Vier davon kamen auch bei Ransomware-Angriffen zum Einsatz.

Unabhängig davon gab F5 im Oktober 2025 einen Sicherheitsvorfall bekannt, bei dem staatlich unterstützte Angreifer im August desselben Jahres in die Systeme des Unternehmens eingedrungen waren. Die Angreifer stahlen Quellcode und Informationen über bislang nicht veröffentlichte BIG-IP-Schwachstellen.

Dieser frühere Vorfall belegt keinen Zusammenhang mit den neu veröffentlichten NGINX-Sicherheitslücken. Für betroffene Organisationen bleibt die unmittelbare Priorität, anfällige Konfigurationen zu identifizieren und die entsprechenden Sicherheitsupdates zu installieren.