Auf den Punkt: CVE-2026-42533 in NGINX 1.30.3, 1.31.2 und älteren NGINX Plus-Versionen ermöglicht Denial-of-Service und potenziell Code-Ausführung — sofortiges Update auf 1.30.4, 1.31.3 oder Plus 37.0.3.1 erforderlich.
F5 hat einen kritischen Fehler in NGINX gepatcht, der es unauthentifizierten Angreifern erlaubt, über präparierte HTTP-Requests einen Heap-Buffer-Overflow im Worker-Prozess auszulösen. Das Update ist seit dem 15. Juli 2026 verfügbar.
F5 hat Patches für CVE-2026-42533 veröffentlicht, eine kritische Schwachstelle in NGINX, die es unauthentifizierten Remote-Angreifern ermöglicht, einen Heap-Buffer-Overflow im Worker-Prozess auszulösen. Die Lücke wird durch speziell konstruierte HTTP-Requests ausgelöst und betrifft NGINX 1.30.3, 1.31.2 sowie alle früheren Versionen sowie ältere Builds von NGINX Plus.
Ein erfolgreicher Angriff führt zum Absturz oder Neustart des Worker-Prozesses und damit zu einer Denial-of-Service-Situation. Die Pufferfehler-Natur der Schwachstelle birgt zudem das Risiko für Remote Code Execution, sofern ein Angreifer die Lücke entsprechend ausnutzt. Da keine Authentifizierung erforderlich ist, kann jeder Netzwerk-Client die Anfragen absetzen.
Als CISO sollten Sie sofort prüfen, welche NGINX-Versionen in Ihrer Infrastruktur laufen. Betroffene Installationen müssen auf NGINX 1.30.4 (Stable-Branch), 1.31.3 (Mainline) oder NGINX Plus 37.0.3.1 aktualisiert werden. Die Patches sind seit dem 15. Juli 2026 verfügbar. Dies gilt insbesondere für öffentlich erreichbare NGINX-Instanzen in Edge-Positionen oder als Load Balancer.
Quelle: thehackernews.com · Erschienen 19. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.