Nginx

A F5 Networks anunciou atualizações de segurança para corrigir duas vulnerabilidades críticas no NGINX Open Source, que podem permitir a execução remota de código em sistemas afetados. As falhas, identificadas como CVE-2026-42530 e CVE-2026-42055, possuem uma pontuação CVSS de 9.2, indicando seu alto nível de gravidade. A primeira vulnerabilidade, CVE-2026-42530, é uma falha de uso após a liberação no módulo ngx_http_v3_module, que pode ser explorada por atacantes remotos não autenticados ao manipular sessões HTTP/3. A segunda, CVE-2026-42055, é um estouro de buffer baseado em heap nos módulos ngx_http_proxy_v2_module e ngx_http_grpc_module, que também pode ser ativada por atacantes remotos sob condições específicas. Ambas as falhas podem ser exploradas em sistemas onde a Randomização do Layout do Espaço de Endereços (ASLR) está desativada ou quando o atacante consegue contorná-la. A F5 recomenda desabilitar o HTTP/3 e ajustar as configurações de buffer para mitigar os riscos. Embora não haja relatos de exploração ativa, a história de vulnerabilidades em produtos da F5 sugere que as organizações devem agir rapidamente para aplicar os patches disponíveis.

A empresa de cibersegurança F5 divulgou atualizações de segurança para corrigir várias vulnerabilidades no servidor web NGINX, incluindo duas falhas de gravidade crítica. As vulnerabilidades, identificadas como CVE-2026-42530 e CVE-2026-42055, podem ser exploradas por atacantes remotos não autenticados, permitindo a execução de código ou ataques de negação de serviço (DoS) em sistemas NGINX com configurações não padrão. A exploração bem-sucedida resulta em problemas como uso após liberação e estouro de buffer, levando à reinicialização do processo do NGINX. A F5 também lançou correções para outros produtos NGINX afetados, como NGINX Plus e NGINX Open Source. Para administradores que não podem aplicar as atualizações imediatamente, foram sugeridas medidas de mitigação, como desabilitar o HTTP/3 e ajustar configurações específicas. Embora a F5 não tenha indicado que essas vulnerabilidades estejam sendo ativamente exploradas, a empresa tem um histórico de ser alvo de grupos de cibercrime e ameaças de estado. A Agência de Segurança Cibernética e Infraestrutura dos EUA (CISA) já sinalizou várias vulnerabilidades da F5 como exploradas ativamente, com implicações significativas para a segurança das redes corporativas.

Pesquisadores de cibersegurança identificaram uma nova vulnerabilidade chamada HTTP/2 Bomb, que afeta servidores web amplamente utilizados, como NGINX, Apache HTTPD, Microsoft IIS, Envoy e Cloudflare Pingora. Essa falha permite um ataque de negação de serviço (DoS) remoto, explorando a configuração padrão do HTTP/2. A vulnerabilidade foi descoberta pela Calif, que explicou que o ataque combina duas técnicas conhecidas: uma bomba de compressão e uma técnica de manutenção de conexão semelhante ao Slowloris. O ataque visa o HPACK, o esquema de compressão de cabeçalhos do HTTP/2, onde um único byte pode resultar em uma alocação de cabeçalho completa no servidor, repetida milhares de vezes. Isso pode levar a um consumo excessivo de memória do servidor, tornando-o inacessível rapidamente. Para mitigar a vulnerabilidade, recomenda-se que os usuários do NGINX atualizem para a versão 1.29.8 ou desativem o HTTP/2, enquanto os usuários do Apache HTTPD devem atualizar para a versão 2.0.41 ou desativar o HTTP/2. No entanto, não há patches disponíveis para Microsoft IIS, Envoy e Cloudflare Pingora até o momento.

Uma nova vulnerabilidade de segurança, identificada como CVE-2026-42945, afeta as versões do NGINX Plus e NGINX Open, com um alto índice de severidade de 9.2 no CVSS. Essa falha, que se trata de um estouro de buffer na memória, permite que atacantes não autenticados possam causar a queda de processos de trabalho ou até executar código remotamente, especialmente em sistemas onde a proteção Address Space Layout Randomization (ASLR) está desativada. A vulnerabilidade foi introduzida em 2008 e, embora a exploração para execução de código remoto (RCE) não seja trivial em configurações padrão, a possibilidade de causar uma negação de serviço (DoS) é considerada uma preocupação urgente. Pesquisadores de segurança já detectaram tentativas de exploração ativas, e recomenda-se que os usuários apliquem as correções mais recentes da F5 para proteger suas redes. Além disso, foram identificadas falhas críticas em openDCIM, que também estão sendo exploradas, destacando a necessidade de atenção redobrada em relação à segurança de aplicações e infraestrutura.

Uma falha de segurança de 18 anos no servidor web de código aberto NGINX, identificada por um sistema de varredura autônomo, pode ser explorada para causar negação de serviço e, em certas condições, execução remota de código. A vulnerabilidade, rastreada como CVE-2026-42945, recebeu uma classificação de severidade crítica de 9,2 no sistema CVSS. A falha, um estouro de buffer na heap no módulo ngx_http_rewrite_module, afeta versões do NGINX de 0.6.27 a 1.30.0. O problema ocorre quando as configurações do NGINX utilizam as diretivas ‘rewrite’ e ‘set’, uma prática comum em gateways de API e configurações de proxy reverso. Pesquisadores demonstraram que a exploração pode ser realizada através de requisições HTTP especialmente elaboradas, levando à execução de código não autenticado. Embora a execução remota de código tenha sido demonstrada em um ambiente sem proteção ASLR, a exploração em sistemas com ASLR habilitado é considerada complexa. Outras três falhas de segurança de gravidade média também foram descobertas. A F5, empresa que mantém o NGINX, já disponibilizou correções para as versões afetadas, e recomenda que os usuários atualizem ou modifiquem suas regras de reescrita para mitigar os riscos.

Pesquisadores de cibersegurança revelaram múltiplas vulnerabilidades que afetam o NGINX Plus e o NGINX Open Source, incluindo uma falha crítica que permaneceu oculta por 18 anos. A vulnerabilidade, identificada como CVE-2026-42945, é um problema de estouro de buffer na pilha que pode permitir a execução remota de código ou causar uma negação de serviço (DoS) através de requisições maliciosas. Essa falha, conhecida como NGINX Rift, pode ser explorada por atacantes não autenticados, tornando-a especialmente perigosa. Além disso, três outras vulnerabilidades foram corrigidas, com pontuações CVSS variando de 6.3 a 8.3, afetando módulos como ngx_http_scgi_module e ngx_http_ssl_module. As versões afetadas foram corrigidas em atualizações lançadas após a divulgação responsável em 21 de abril de 2026. Os usuários são aconselhados a atualizar para as versões mais recentes ou, se não puderem, modificar a configuração de reescrita para mitigar o risco. Essa situação destaca a importância de manter sistemas atualizados e monitorar vulnerabilidades conhecidas.

Uma vulnerabilidade crítica no Nginx UI, relacionada ao suporte ao Model Context Protocol (MCP), está sendo explorada ativamente, permitindo que atacantes assumam o controle total do servidor sem necessidade de autenticação. A falha, identificada como CVE-2026-33032, ocorre devido à falta de proteção no endpoint ‘/mcp_message’, que permite a execução de ações privilegiadas do MCP sem credenciais. Isso possibilita que um único pedido não autenticado altere o comportamento do servidor, incluindo a modificação e recarregamento de arquivos de configuração do Nginx.

Pesquisadores de cibersegurança revelaram uma campanha ativa de sequestro de tráfego web que visa instalações do NGINX e painéis de gerenciamento como o Baota (BT). A Datadog Security Labs identificou que atores de ameaças estão explorando a vulnerabilidade React2Shell (CVE-2025-55182, pontuação CVSS: 10.0) utilizando configurações maliciosas do NGINX para redirecionar o tráfego legítimo através de servidores controlados pelos atacantes. A campanha foca em domínios de nível superior (TLDs) asiáticos e infraestrutura de hospedagem chinesa, além de TLDs governamentais e educacionais. Os atacantes utilizam scripts em shell para injetar configurações maliciosas no NGINX, capturando requisições em URLs específicas e redirecionando-as. O toolkit utilizado inclui scripts que orquestram a execução de etapas subsequentes, visando persistência e criação de arquivos de configuração maliciosos. Dados recentes indicam que dois endereços IP representam 56% das tentativas de exploração observadas, com um total de 1.083 IPs únicos envolvidos em um curto período. A situação é preocupante, pois sugere um interesse em acesso interativo, além da extração automatizada de recursos.

Pesquisadores do DataDog Security Labs descobriram uma campanha de ciberataques que compromete servidores NGINX, redirecionando o tráfego de usuários por meio da infraestrutura do atacante. O NGINX, um software de gerenciamento de tráfego web amplamente utilizado, é alvo de modificações em seus arquivos de configuração, onde blocos maliciosos são injetados. Esses blocos capturam requisições em URLs selecionadas e as redirecionam para domínios controlados pelos atacantes, utilizando a diretiva ‘proxy_pass’, que normalmente é usada para balanceamento de carga e, portanto, não aciona alertas de segurança.