شرکت F5 اخیراً مجموعه‌ای از ۱۱ آسیب‌پذیری امنیتی را در NGINX شناسایی و برطرف کرده است. در میان این موارد، سه آسیب‌پذیری بحرانی با امتیاز CVSS 9.2 شناسایی شده‌اند که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، از طریق ارسال درخواست‌های HTTP دستکاری‌شده، سیستم را مورد حمله قرار دهند.
تحلیل CVE-2026-15176: سرریز بافر در Heap
آسیب‌پذیری CVE-2026-15176 یک نقص از نوع Heap-based Buffer Overflow است که هر دو نسخه NGINX Plus و NGINX Open Source را تحت تاثیر قرار می‌دهد. این مشکل در پیکربندی‌های خاصی رخ می‌دهد که از دستور alias و متغیر $request_filename استفاده می‌کنند. در صورت غیرفعال بودن یا دور زدن مکانیزم ASLR (Address Space Layout Randomization)، مهاجم می‌تواند از این نقص برای اجرای کد از راه دور (RCE) یا ایجاد وضعیت Denial-of-Service (DoS) استفاده کند.
تحلیل CVE-2026-93479: نقص در دستور Map
آسیب‌پذیری CVE-2026-93479 نیز یک مورد Heap-based Buffer Overflow است که در هر دو نسخه NGINX مشاهده شده است. این نقص زمانی فعال می‌شود که متغیرهای capture مربوط به Regular-expression در دستور map پیش از متغیر خروجی map مورد ارجاع قرار گیرند، یا زمانی که یک متغیر غیرقابل کش (Non-cacheable) در یک عبارت رشته‌ای تحت شرایط خاص استفاده شود. مشابه مورد قبلی، در صورت نبود یا دور زدن ASLR، امکان دستیابی به RCE وجود دارد.
تحلیل CVE-2026-97205: نقص Use-after-free
سومین نقص بحرانی با شناسه CVE-2026-97205 مربوط به یک آسیب‌پذیری Use-after-free در ماژول ngx_http_core_module است. این مشکل در پیکربندی‌هایی که قابلیت Asynchronous File I/O (AIO) در آن‌ها فعال است و صفحات Server Side Includes (SSI) حاوی دستورات include virtual را پردازش می‌کنند، رخ می‌دهد. این نقص می‌تواند منجر به فساد حافظه (Memory Corruption)، توقف غیرمنتظره Worker Process یا در نهایت اجرای کد (RCE) در صورت دور زدن ASLR شود.
توصیه‌های امنیتی
با توجه به سطح دسترسی بدون احراز هویت و امتیاز بالای بحرانیت، به مدیران زیرساخت و مهندسین امنیت توصیه می‌شود در سریع‌ترین زمان ممکن NGINX را به آخرین نسخه منتشر شده توسط F5 به‌روزرسانی کنند تا از احتمال وقوع حملات DoS و RCE جلوگیری شود.
