F5 NGINX уязвимости устранены в внеочередных патчах октября 2026 года
F5 14 октября 2026 года выпустила внеочередные исправления для трех критических уязвимостей NGINX, включая CVE-2026-15176.
Компания F5 14 октября 2026 года выпустила внеочередные исправления для нескольких уязвимостей NGINX, в том числе трех критических проблем с повреждением памяти. Патчи закрывают CVE-2026-15176, CVE-2026-93479 и CVE-2026-97205, которые могут приводить к аварийному завершению worker-процессов или удаленному выполнению кода при определенных условиях.
Подробности об исправленных уязвимостях NGINX
Основная проблема CVE-2026-15176 связана с переполнением буфера кучи в модуле ngx_http_core_module. Уязвимость проявляется при использовании директив alias и rewrite вместе с переменной $request_filename или при записи в access-лог. Оценка по CVSS v4.0 составляет 9.2, по v3.1 — 8.1. Атака возможна без аутентификации через специально сформированные запросы.
Вторая уязвимость CVE-2026-93479 затрагивает захват групп регулярных выражений в директиве map и влияет на root и log_format. Третья CVE-2026-97205 представляет собой use-after-free в ngx_http_core_module при сочетании AIO и SSI include virtual. Все три позволяют удаленный отказ в обслуживании, а выполнение кода возможно при отключенном или обойденном ASLR. Дополнительно исправлены две уязвимости средней тяжести: CVE-2026-95101 в HTTP/3 и CVE-2026-97629 в обработке TLS-сессий.
Обновления вышли для NGINX Open Source 1.30.6 и 1.31.7, NGINX Plus 37.0.5.1 и 37.1.0.1. Исправления также включены в NGINX Ingress Controller 5.7.0, Instance Manager 2.24.0 и другие продукты F5. Затронуты версии Open Source 1.30.0–1.30.5 и 1.31.0–1.31.6, а также NGINX Plus веток R33–R36.
Контекст выпуска патчей и меры для администраторов
F5 оценивает риски как средние, однако CVSS v4.0 присваивает критический уровень. Подобные проблемы с памятью в NGINX уже наблюдались ранее, например в CVE-2026-42945. На момент 19 октября 2026 года публичных эксплойтов и подтвержденных случаев эксплуатации в сети не зарегистрировано. Проблемы затрагивают только data-plane компоненты, control-plane остается незатронутым.
При невозможности немедленного обновления рекомендуются временные меры. Для CVE-2026-15176 следует избегать использования alias в блоках location или ссылок на $request_filename. Для CVE-2026-97205 можно отключить AIO или SSI. Для CVE-2026-93479 ограничивают именованные захваты регулярных выражений блоками match. Администраторам следует проверять бюллетень F5 K000162416 и сайт nginx.org для получения сведений о бэкпортах в дистрибутивах.
Выпуск внеочередных патчей вписывается в серию обновлений безопасности NGINX в 2026 году. Администраторам рекомендуется установить обновления как можно скорее и отслеживать новые уведомления F5. На текущий момент дополнительных регуляторных мер или рекомендаций для российских пользователей не поступало.
Частые вопросы
Какие версии NGINX затронуты уязвимостями?
Уязвимости затрагивают NGINX Open Source 1.30.0–1.30.5 и 1.31.0–1.31.6, а также NGINX Plus версий 37.0.0–37.0.4 и 37.1.0. Исправления доступны в 1.30.6, 1.31.7 и соответствующих релизах Plus.
Можно ли отложить обновление NGINX?
При задержке обновления применяют временные конфигурационные меры: отказ от alias с $request_filename, отключение AIO или SSI и ограничение именованных захватов regex. Полное устранение рисков требует установки патчей.
Есть ли подтвержденные случаи эксплуатации уязвимостей?
По состоянию на 19 октября 2026 года публичных эксплойтов и фактов эксплуатации в реальных атаках не зафиксировано. F5 и NVD не сообщают о активных угрозах.
Какие продукты F5 получили обновления кроме NGINX?
Исправления вошли в NGINX Ingress Controller 5.7.0, Instance Manager 2.24.0, а также в компоненты F5 WAF и Gateway Fabric для соответствующих сборок.
Комментарии 5