Kritische Schwachstelle betrifft zwei NGINX-Produkte

Die Sicherheitslücke befindet sich im Modul ngx_http_rewrite_module, das in NGINX Plus und in NGINX Open Source eingesetzt wird. Die Lücke kann einen Heap-Buffer-Overflow verursachen, der je nach Vorgehensweise der Angreifenden verschiedene Konsequenzen haben kann. Das Einschleusen und Ausführen von Schadcode kann beispielsweise eine Übernahme des Systems zur Folge haben. Betroffen sind folgende Versionen der Produkte:

• NGINX Plus:
  • 37.0.0
  • R32 – R36
• NGINX Open Source:
  • 1.31.0
  • 1.0.0 – 1.3.0.1
  • 0.1.17 - 0.9.7

Die Kennung der Lücke ist CVE-2026-9256 (EUVD-2026-31444), der CVSS-Base-Score liegt bei 9.2/10.

Dies berichten der Hersteller F5 und verschiedene Medien.

Aktualisieren Sie die Produkte je nach installierter Instanz mit den angegebenen Patches:

• NGINX Plus:
  • 37.0.1.1
  • R36 P5
  • R32 P7
• NGINX Open Source:
  • 1.31.1
  • 1.30.2
  • Für den 0.x-Branch wird kein Update zur Verfügung gestellt.

Alternativ können Sie die Rewrite-Regeln ändern (siehe Sicherheitshinweis des Herstellers).