Auf den Punkt: Die aktiv ausgenutzte DoS-Schwachstelle CVE-2026-42945 im NGINX-Rewrite-Modul betrifft laut VulnCheck rund 5,7 Millionen erreichbare Server und sollte durch Update auf NGINX Plus 37.0.0/R36 P4/R32 P6 bzw. NGINX Open Source 1.31.0/1.30.1 oder per Anpassung der Rewrite-Regeln geschlossen werden.
Eine Schwachstelle im ngx_http_rewrite_module von NGINX Open Source und NGINX Plus wird bereits aktiv angegriffen und ermöglicht nicht authentifizierten Angreifern, Server per Denial-of-Service lahmzulegen. Laut VulnCheck sind rund 5,7 Millionen Instanzen im Internet erreichbar und potenziell betroffen.
Die als „NGINX Rift“ bezeichnete Schwachstelle (CVE-2026-42945, CVSS 8.1 nach CVSSv3, CVSS 9.2 nach CVSSv4) steckt im Rewrite-Modul und lässt sich auslösen, wenn auf eine Rewrite-Direktive eine weitere rewrite-, if- oder set-Direktive mit einer Perl-kompatiblen Regular Expression folgt, deren Ersetzungsausdruck ein „?“ enthält. In diesem Fall können Angreifer aus dem Netz ohne vorherige Authentifizierung mit manipulierten Paketen einen Heap-basierten Pufferüberlauf im NGINX-Worker-Prozess provozieren, der einen Neustart erzwingt. Ist Address Space Layout Randomization (ASLR) deaktiviert, ein eher unwahrscheinlicher Fall, könnte die Lücke sogar zur Ausführung von eingeschleustem Code führen. Der betroffene Code-Pfad ist laut Bericht 18 Jahre alt. Ein Proof-of-Concept-Exploit ist auf GitHub verfügbar, VulnCheck meldet über LinkedIn bereits beobachteten aktiven Missbrauch in freier Wildbahn.
Für Betreiber von NGINX-Instanzen bedeutet das akuten Handlungsbedarf, insbesondere wenn Rewrite-Regeln mit den beschriebenen Mustern im Einsatz sind. Auch ohne Codeausführung führt ein erfolgreicher Angriff zu Ausfällen einzelner Worker-Prozesse und damit zu Verfügbarkeitsproblemen produktiver Systeme. Die genannte Zahl von 5,7 Millionen erreichbaren Instanzen zeigt die Größenordnung der potenziellen Angriffsfläche.
F5 hat in einer Sicherheitsmeldung Patches bereitgestellt: NGINX Plus 37.0.0, R36 P4 und R32 P6 sowie NGINX Open Source 1.31.0 und 1.30.1 enthalten Korrekturen. Ältere 0.xer-Versionen von NGINX Open Source erhalten keinen Fix mehr. Wer nicht sofort aktualisieren kann, findet in der F5-Mitteilung alternative Anpassungen für Rewrite-Regeln, die die Schwachstelle umgehen. Für einige Produkte, darunter NGINX Instance Manager und NGINX App Protect WAF, stehen laut F5 noch keine Fixes zur Verfügung.
Neben der bereits angegriffenen Lücke behebt das Update weitere Schwachstellen mit geringerer Risikoeinstufung: eine Spoofing-Lücke im HTTP/3-QUIC-Modul (CVE-2026-40460, CVSS 6.5), übermäßiger Speicherverbrauch und mögliche Datenpreisgabe in ngx_http_scgi_module und ngx_http_uwsgi_module (CVE-2026-42946, CVSS 6.5), sowie Probleme im HTTP/2-Proxy-Modus (CVE-2026-42926, CVSS 5.8), im ngx_http_charset_module (CVE-2026-42934, CVSS 4.8) und im ngx_http_ssl_module (CVE-2026-40701, CVSS 4.8). Nicht jede dieser Lücken betrifft alle Versionen von NGINX OSS und Plus gleichermaßen.
Praktiker sollten prüfen, ob ihre Konfiguration die beschriebenen Rewrite-Muster verwendet, und vorrangig die aktiv ausgenutzte Lücke schließen, entweder per Update auf die genannten Versionen oder durch Anpassung der Rewrite-Regeln gemäß F5-Empfehlung. Zuletzt waren zudem Schwachstellen im Web-Interface Nginx UI aufgefallen, die Angreifern die vollständige Übernahme von Instanzen ermöglichten – ein Hinweis darauf, dass auch Zusatzkomponenten im NGINX-Umfeld regelmäßig überprüft werden sollten.
Quelle: www.heise.de · Erschienen 19. Mai 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.2.