F5 heeft noodpatches uitgebracht voor nginx-kwetsbaarheden die het bedrijf zelf als kritiek bestempelt, nog geen week nadat nginx dezelfde fouten in een reguliere release als “medium” had geclassificeerd. Dat meldt BleepingComputer. De patches verschijnen buiten de normale releasecyclus om en gelden voor de volledige NGINX-productlijn van F5: NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric en NGINX Instance Manager.
Het gaat om drie kwetsbaarheden die deze site al eerder behandelde toen nginx zelf versies 1.30.6 en 1.31.7 uitbracht: CVE-2026-15176 en CVE-2026-97205, beide in de ngx_http_v3_module, en CVE-2026-93479 in de verwerking van de map-directive. Waar nginx deze fouten destijds als middelgroot inschaalde, noemt F5 ze nu “critical-severity”. Voor geen van de drie is tot nu toe misbruik in het wild gemeld.
Voor een aanval is geen authenticatie nodig. Afhankelijk van de configuratie kan misbruik leiden tot een denial-of-service of, bij niet-standaardconfiguraties en op systemen zonder ASLR, tot het uitvoeren van code. F5 publiceerde de technische details in drie adviezen (K000162416, K000162608 en K000162607) en biedt daarin ook tijdelijke mitigaties voor wie niet meteen kan patchen:
- Bij CVE-2026-15176: vermijd de combinatie van de
alias-directive in een location-block met de variabele$request_filename. - Bij CVE-2026-97205: schakel asynchrone bestands-I/O (AIO) of Server Side Includes (SSI) uit.
- Bij CVE-2026-93479: gebruik named captures in plaats van unnamed captures in reguliere expressies, en beperk het gebruik tot het blok waarin de match plaatsvindt.
Voor Nederlandse beheerders die al naar nginx 1.30.6 of 1.31.7 zijn geüpdatet, is dit vooral relevant als zij daarnaast of in plaats daarvan een commercieel F5 NGINX-product draaien. Die producten volgen een eigen releasecyclus en zijn dus niet automatisch gedekt door de open-source-update van vorige week. Ga na welke patch op welke installatie van toepassing is, en pas waar patchen niet meteen lukt de bovenstaande mitigaties toe. Gezien de kritieke classificatie en de schaal waarop nginx wereldwijd wordt ingezet is dit een update om voorrang te geven, ook al is er nog geen actief misbruik gemeld.
Bron: BleepingComputer
Wat betekent dit voor jouw bedrijf?
Draait uw organisatie een commercieel F5 NGINX-product zoals NGINX Plus, Ingress Controller, Gateway Fabric of Instance Manager naast of in plaats van open-source nginx? Die producten volgen een eigen releasecyclus en zijn dus niet automatisch gedekt door de eerdere update naar nginx 1.30.6/1.31.7. Controleer de drie F5-adviezen (K000162416, K000162608, K000162607) en patch met voorrang, of pas de genoemde mitigaties toe als patchen niet meteen lukt.
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.