Cybersecuritybedrijf F5 heeft buiten de reguliere updatecyclus om beveiligingspatches uitgebracht voor diverse kwetsbaarheden in de NGINX webserver. Het gaat onder meer om twee kritieke beveiligingslekken die aanvallers in staat stellen om op kwetsbare systemen code uit te voeren.

De kritieke kwetsbaarheden zijn gevonden in het ngx_http_v3_module (CVE-2026-42530) en in het ngx_http_proxy_v2_module en ngx_http_grpc_module (CVE-2026-42055). Deze kunnen door niet-geauthenticeerde externe aanvallers worden misbruikt om een denial-of-service (DoS) te veroorzaken of om code uit te voeren op NGINX-systemen met niet-standaard configuraties. Bij succesvolle exploitatie ontstaat een use-after-free of heap-based buffer overflow in het NGINX workerproces, wat kan leiden tot een herstart van de server. In beide gevallen is het ook mogelijk om code uit te voeren op systemen waarbij Address Space Layout Randomization (ASLR) is uitgeschakeld of wanneer ASLR kan worden omzeild.

F5 heeft beveiligingsupdates uitgebracht voor meerdere NGINX-producten die door deze kwetsbaarheden zijn getroffen, waaronder NGINX Plus, NGINX Open Source, NGINX Gateway Fabric en NGINX Instance Manager. Beheerders die de patches niet direct kunnen toepassen, kunnen de impact van CVE-2026-42530 beperken door HTTP/3 uit te schakelen (door 'quic' te verwijderen uit alle listen-directieven). Voor CVE-2026-42055 kan mitigatie worden bereikt door de configuratie aan te passen: de directive 'ignore_invalid_headers off' verwijderen en de grootte van 'large_client_header_buffers' terugbrengen tot minder dan 2 megabyte.

Daarnaast heeft F5 twee kwetsbaarheden met hoge ernst in NGINX Gateway Fabric aangepakt, geregistreerd als CVE-2026-11311 en CVE-2026-50107. Deze kunnen door geauthenticeerde aanvallers worden misbruikt om willekeurige NGINX-configuratie-instructies te injecteren.

Hoewel F5 geen meldingen heeft gedaan van actieve exploitatie van deze kwetsbaarheden, zijn F5-producten in het verleden regelmatig doelwit geweest van cybercriminelen en door staten gesteunde dreigingsactoren. Zo zijn kwetsbaarheden in F5-producten gebruikt om bedrijfsnetwerken te compromitteren, malware te installeren, interne servers in kaart te brengen, apparaten over te nemen en gevoelige documenten te stelen. In augustus 2025 werden systemen van F5 zelf gehackt door door een staat gesteunde aanvallers, waarbij onder andere onbekende BIG-IP kwetsbaarheden en broncode werden buitgemaakt. De Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) heeft in de afgelopen jaren zeven F5-kwetsbaarheden als actief geëxploiteerd aangemerkt, waarvan vier werden ingezet bij ransomware-aanvallen.