Компания F5 вновь сообщает о недостатках в области кибербезопасности своих основных продуктов.
Поставщик решений для доставки приложений и обеспечения безопасности выпустил внеплановые (OOB) исправления безопасности, устраняющие ряд уязвимостей в NGINX — высокопроизводительном программном обеспечении, управляющем цифровым трафиком веб-сайтов. Среди них три критические уязвимости, которые могут позволить злоумышленникам вызывать сбои в работе систем, выполнять произвольный код и запускать атаки типа «отказ в обслуживании» (DoS).
Внеплановые исправления безопасности — это экстренные обновления программного обеспечения, выпускаемые вне обычных циклов обслуживания.
Уязвимости CVE-2026-15176, CVE-2026-97205 и CVE-2026-93479 получили оценку 9,2 по шкале Common Vulnerability Scoring System (CVSS) в последней версии (4.0). Затронутые программные продукты включают NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric и NGINX Instance Manager.
Хотя F5 утверждает, что не обнаружила доказательств активной эксплуатации этих проблем, компания рекомендует клиентам установить или обновить программное обеспечение до исправленных версий. Аналитики согласны с этим.
«NGINX — это входная дверь: обратный прокси, балансировщик нагрузки и шлюз Kubernetes», — отметил Фрэнк Диксон из Dickson Research, добавив, что безопасность транспортного уровня (TLS) обычно завершается в NGINX. «Выполнение кода на этом устройстве означает возможность видеть пароли, сессионные cookie и токены API в открытом виде, а также закрытые ключи, которые обеспечивают доверие ко всему этому».
Возможность для злоумышленников вызывать сбои в системах
CVE-2026-15176 и CVE-2026-97205 — это уязвимости в модуле ngx_http_core_module в NGINX от F5, которые могут привести к переполнению буфера в куче в рабочем процессе сервера. Этот тип повреждения памяти может привести к сбою или перезапуску системы, предоставляя таким образом доступ злоумышленникам. Злоумышленники также могут выполнять код в системах, где отключена случайная организация адресного пространства (ASLR) — техника, предназначенная для предотвращения эксплуатации путем случайного размещения адресов памяти при запуске приложения, — или обойти ASLR полностью. Уязвимости могут позволить злоумышленникам запускать DoS-атаки, делая сервер недоступным для легитимных пользователей, пояснили в F5.
CVE-2026-93479 аналогична, поскольку представляет собой уязвимость в директиве map, которая может позволить злоумышленникам отправлять специально сформированные HTTP-запросы для вызова переполнения буфера в куче; они также могут выполнять код при отключенной ASLR или обходить ее.
Эти уязвимости следуют за сообщением F5 об CVE-2026-42530 в июне. Уязвимость в модуле ngx_http_v3_module в NGINX Open Source также потенциально могла позволить удаленным злоумышленникам вызвать отказ в обслуживании или выполнить код.
Клиенты могут снизить риск CVE-2026-15176, избегая использования переменной $request_filename и директивы alias в блоке location, сообщили в F5. Для CVE-2026-97205 можно снизить риск, отключив асинхронный ввод-вывод файлов (AIO) и Server Side Includes (SSI).
Между тем, F5 рекомендовала снизить риск CVE-2026-93479, избегая безымянных захватов (captures) и вместо этого используя именованные захваты, а также ограничивая их использование блоком с регулярным выражением.
Однако, как отметил Сева Юсуфович, старший аналитик Infotech, «поскольку NGINX используется в широком спектре систем, это может увеличить риск потери доступности услуг для многих предприятий».
Последнее в серии проблем кибербезопасности
Хотя об активной эксплуатации этих трех уязвимостей в реальных условиях неизвестно, F5 неоднократно становилась мишенью кибератак в последние годы, что вызывает беспокойство, поскольку компания, занимающаяся кибербезопасностью и доставкой приложений (ADN), обслуживает десятки тысяч клиентов, включая 80% компаний из списка Fortune 500, отметили аналитики.
Злоумышленники неоднократно использовали уязвимости в ее системах и продуктах для картирования внутренних серверов, захвата устройств, взлома систем, кражи конфиденциальных документов и развертывания программ-вымогателей, стирающих данные. За последние пять лет Агентство по кибербезопасности и защите инфраструктуры США (CISA) выявило восемь уязвимостей F5, которые активно эксплуатировались; четыре из них стали целью атак программ-вымогателей.
Например, в 2025 году произошла атака государственного уровня, а экстренная директива CISA 26-01 была связана с BIG-IP от F5. В то время F5 заявила, что исходный код NGINX не был получен. Однако, как отметил Диксон, собственный «предупредительный выстрел» NGINX прозвучал в мае, когда CVE-2026-42945, переполнение модуля перезаписи, получившее прозвище NGINX Rift, появилось с общедоступным доказательством возможности удаленного выполнения кода.
«Уязвимость в alias и rewrite на этой неделе находится в том же «районе», — сказал он, указав: — Злоумышленники тоже читают журналы изменений».
Снижение рисков
Юсуфович отметил, что уязвимости зависят от конфигурации, поэтому предприятиям следует начать с аудита текущих конфигураций NGINX, чтобы помочь приоритизировать исправление этих уязвимостей. F5 также заявила, что риск удаленного выполнения кода (RCE) заметно возрастает при отключенной ASLR, поэтому пользователям следует дважды проверить, что ASLR и другие стандартные средства защиты на уровне ОС активно включены, чтобы хотя бы ограничить риск эксплуатации подобных типов атак.
Предприятия должны убедиться, что у них есть четкий инвентарный список систем, на которых работает NGINX, включая те, где он встроен в другие продукты. Это имеет решающее значение для поддержки аудитов конфигурации, усилий по сегментации и мониторинга рабочих процессов NGINX, которые могут указывать на то, что злоумышленники «прощупывают» эти типы уязвимостей, сказал Юсуфович.
«NGINX уже выпустил несколько обновлений безопасности в этом году, и я ожидаю, что эта тенденция сохранится и в будущем», — отметил он.
Диксон согласился, что инвентаризация — первый шаг. NGINX «скрывается» внутри контроллеров ingress, аппаратных устройств и образов контейнеров. Многие команды получают NGINX из своего дистрибутива Linux, а не с nginx.org, и Amazon Linux по-прежнему указывает исправление AIO как ожидающее.
«Исправление на сайте поставщика не обновляет ваши серверы», — предостерег он.
Помимо проведения инвентаризации, предприятия должны проверить свои конфигурации на наличие псевдонимов (aliases), сопряженных с rewrite, AIO в сочетании с SSI, а также блоков map с использованием безымянных регулярных выражений.
Если организация не может установить исправление сегодня, обходные пути просты, сказал Диксон: отключить AIO или прекратить обслуживание страниц SSI; переключить map на именованные захваты; убедиться, что ASLR включена, запускать рабочие процессы с пониженными привилегиями; и сегментировать «переднюю дверь», чтобы она не могла добраться до «королевских драгоценностей». И следить за перезапускающимися рабочими процессами.
«Эти уязвимости требуют правильной конфигурации, чтобы сработать, и это хорошая новость», — сказал Диксон. «Плохая новость заключается в том, что многие организации могут не знать, что на самом деле означают их конфигурации NGINX».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
