شرکت F5 وصله‌های امنیتی خارج از چرخه معمول (out-of-band) را برای رفع چندین نقص امنیتی در وب‌سرور NGINX منتشر کرده است. این به‌روزرسانی شامل سه آسیب‌پذیری با سطح اهمیت بحرانی (critical) است که می‌تواند به مهاجمان اجازه دهد کدهای مخرب را در سیستم‌های آسیب‌پذیر اجرا کنند (RCE).
سه آسیب‌پذیری بحرانی مذکور در ماژول ngx_http_v3_module (شامل CVE-2026-15176 و CVE-2026-97205) و همچنین در دستور map در NGINX (شامل CVE-2026-93479) شناسایی شده‌اند.
مهاجمان از راه دور و بدون نیاز به داشتن امتیاز دسترسی (unprivileged)، می‌توانند از این حفره‌ها برای انجام حملات منع سرویس (DoS) یا اجرای کد (Code Execution) در سیستم‌های NGINX که دارای پیکربندی‌های غیرپیش‌فرض هستند، استفاده کنند. بهره‌برداری موفقیت‌آمیز از این آسیب‌پذیری‌ها منجر به بروز خطای سرریز بافر مبتنی بر Heap (heap-based buffer overflow) یا استفاده پس از آزادسازی حافظه (use-after-free) در فرآیند NGINX Worker می‌شود که می‌تواند باعث کرش کردن یا ری‌استارت شدن سرویس گردد. با این حال، مهاجمان ممکن است بتوانند در سیستم‌هایی که قابلیت ASLR (Address Space Layout Randomization) در آن‌ها غیرفعال است یا زمانی که بتوانند ASLR را دور بزنند، کد خود را اجرا کنند.
محصولات تحت تأثیر شامل موارد زیر هستند:
- NGINX Plus
- NGINX Open Source
- NGINX Ingress Controller
- NGINX Gateway Fabric
- NGINX Instance Manager
برای تیم‌های امنیتی و مدیرانی که امکان نصب فوری وصله‌ها را ندارند، راهکارهای کاهش ریسک (mitigation) زیر پیشنهاد می‌شود:
- برای CVE-2026-15176: عدم استفاده از دستور
aliasدر بلوکlocationیا متغیر$request_filename. - برای CVE-2026-97205: غیرفعال کردن ورودی/خروجی فایل ناهمگام (AIO) یا Server Side Includes (SSI).
- برای CVE-2026-93479: استفاده از Named Captures به جای Unnamed Captures و محدود کردن استفاده از آن‌ها به بلوک مربوط به Regex Match.
اگرچه F5 هنوز گزارش رسمی مبنی بر بهره‌برداری فعال از این آسیب‌پذیری‌ها در محیط‌های واقعی ارائه نداده است، اما گروه‌های تهدید دولتی (Nation-state) و مجرمان سایبری در سال‌های اخیر بارها از آسیب‌پذیری‌های محصولات F5 برای نفوذ به شبکه‌های سازمانی، سرقت اسناد حساس و استقرار بدافزارهای پاک‌کننده داده (data-wiping malware) استفاده کرده‌اند.
