TRANSMISSÃO: YouTube

A F5 divulgou atualizações de segurança para o NGINX Open Source que eliminam duas falhas consideradas críticas, capazes de permitir execução remota de código sem autenticação em servidores vulneráveis. Ambas receberam nota 9,2 na escala CVSS v4.

O que foi corrigido

A primeira vulnerabilidade atinge o módulo ngx_http_v3_module e é classificada como use-after-free, um erro que ocorre quando um programa tenta acessar área de memória já liberada. A exploração envolve a reabertura de um stream do encoder QPACK por meio de uma sessão HTTP/3 especialmente criada, quando o NGINX está configurado para usar o módulo QUIC do HTTP/3.

A segunda falha, identificada como CVE-2026-42055, é um estouro de buffer na heap (heap-based buffer overflow) que afeta os módulos ngx_http_proxy_v2_module e ngx_http_grpc_module. Para que essa vulnerabilidade seja explorada, três condições precisam ocorrer simultaneamente: a diretiva proxy_http_version deve estar definida como 2 ou o grpc_pass precisa estar em uso para proxy de tráfego HTTP/2; a diretiva ignore_invalid_headers deve estar desativada; e o valor da diretiva large_client_header_buffers precisa ser superior a 2 MB.

Em ambos os casos, a exploração bem-sucedida depende de o ASLR (Address Space Layout Randomization) estar desativado ou de o atacante conseguir contorná-lo.

Versões atualizadas e produtos afetados

A F5 já publicou correções para o NGINX Open Source — as versões corrigidas são 1.31.2 e 1.30.3, dependendo da instalação. Além do Open Source, receberam atualizações produtos como NGINX Plus, NGINX Gateway Fabric, NGINX Instance Manager, NGINX Ingress Controller e as edições WAF e DoS do NGINX App Protect. A lista completa de versões afetadas e corrigidas está disponível no comunicado oficial da F5.

Imagem: Divulgação

Mitigações temporárias

Enquanto não aplicarem os patches, a F5 recomenda medidas temporárias: para a vulnerabilidade ligada ao HTTP/3 (CVE-2026-42530) a orientação é desativar o suporte a HTTP/3 no servidor; para a CVE-2026-42055, a recomendação é remover a configuração ignore_invalid_headers off ou reduzir large_client_header_buffers para menos de 2 MB.

A F5 informou que até o momento da publicação não há confirmação de exploração ativa dessas duas falhas. Especialistas lembram que vulnerabilidades em produtos da empresa já foram exploradas em ocasiões anteriores, como no caso do CVE-2026-42945, conhecido como NGINX Rift, que começou a ser explorado dias após sua divulgação.





As correções devem ser aplicadas o quanto antes em ambientes expostos para reduzir o risco de comprometimento.

Com informações de Tecmundo