Falha crítica no NGINX pode derrubar workers e permitir execução remota de código

20 de Julho de 2026

A F5 divulgou correções para uma falha crítica no nginx que permite a um atacante remoto e não autenticado provocar um estouro de buffer na heap no processo de worker por meio de requisições HTTP especialmente elaboradas.

A CVE-2026-42533 foi corrigida em 15 de julho no nginx 1.30.4, na versão estável, e no 1.31.3, na versão principal, além do NGINX Plus 37.0.3.1.

Quem estiver em uma versão anterior deve atualizar.

A exploração pode derrubar ou reiniciar o worker, causando interrupção do serviço.

Segundo a F5, se o ASLR estiver desativado ou puder ser contornado, a falha também pode permitir execução remota de código.

O problema está no motor de scripts do nginx, a parte do código que monta strings a partir de diretivas no momento da requisição.

Ele só aparece em uma configuração específica: um map baseado em regex cujo resultado é usado em uma expressão de string depois de uma captura vinda de uma correspondência regex anterior.

Nesse cenário, a avaliação em duas etapas do motor se rompe.

Na primeira, o nginx mede quantos bytes o resultado vai exigir e aloca um buffer para isso.

Na segunda, ele grava os bytes.

As duas etapas leem o mesmo estado compartilhado de capturas, e a execução da regex do map entre elas sobrescreve esse estado.

Com isso, a etapa de medição dimensiona o buffer com base na captura original, como uma referência $1 vinda da correspondência da location, enquanto a etapa de gravação preenche o espaço com uma captura diferente, que pode ser controlada pelo atacante.

O buffer fica pequeno demais, e tanto o tamanho quanto o conteúdo do estouro vêm diretamente da requisição.

Nem todo servidor nginx é afetado.

A exposição depende da configuração, e não apenas da versão.

No comunicado, a F5 lista o problema como presente também em NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager, além do servidor principal e do NGINX Plus, embora, na publicação, ainda não houvesse versões corrigidas divulgadas para esses quatro produtos.

A F5 atribuiu nota 9,2 no CVSS v4 e 8,1 na escala v3.1, e classificou a complexidade de ataque como alta.

Todas as versões do nginx de 0.9.6 até 1.31.2 estão vulneráveis, um intervalo que remonta a 2011, quando o map passou a aceitar regex.

A CVE-2026-42533 foi reportada à F5 de forma independente por mais de uma dúzia de pesquisadores.

A empresa agradeceu por “trazerem essa questão à nossa atenção de forma independente”.

O changelog do próprio nginx credita a correção a Mufeed VH, da Winfunc Research, e ao mantenedor Maxim Dounin.

Um dos relatórios, de Stan Shaw, que publica como cyberstan, trouxe uma análise mais profunda do que o aviso oficial.

A F5 condiciona a execução de código ao fato de o ASLR estar desativado ou ser contornável, mas Shaw argumenta que a própria falha fornece esse contorno.

Segundo o The Hacker News, Shaw disse que a sobrescrita das capturas também funciona no sentido inverso: quando a captura sobrescrita é menor do que a original, o buffer maior devolve dados não inicializados da heap e, em uma instalação padrão do Ubuntu 24.04, um único GET sem autenticação recupera os endereços necessários para um payload.

“Um leitor do comunicado da F5 poderia concluir razoavelmente que isso só causa DoS em sistemas padrão.

Não causa”, afirmou Shaw.

É uma alegação mais forte do que a feita pela F5, e ele diz ter obtido nota máxima, 10 de 10, em seus testes.

Por enquanto, ele está retendo os detalhes de exploração e uma prova de conceito, o que impede verificação independente imediata.

A correção é atualizar para o nginx 1.30.4 ou 1.31.3, ou para o NGINX Plus 37.0.3.1.

Para quem não puder aplicar o patch de imediato, a mitigação temporária recomendada pela F5 é trocar os maps afetados por capturas nomeadas.

Shaw afirma que isso fecha o caminho principal e cobre a maioria das configurações.

Segundo o The Hacker News, Shaw disse ainda que a mitigação deixa aberta uma rota mais estreita: um map que define o mesmo grupo nomeado usado pela regex da location ainda chega ao mesmo estouro por um segundo caminho de código, algo que ele confirmou com AddressSanitizer e que não aparece no comunicado da F5.

“Atualizar para 1.30.4 / 1.31.3 é a única correção completa”, disse ele.

O padrão de exposição a ser procurado é estreito: um map baseado em regex cujo valor aparece em uma expressão de string ao lado de uma captura numerada, como $1 ou $2, vinda de uma regex anterior, com essa captura sendo escrita antes da variável do map.

O scanner desenvolvido por Shaw automatiza essa verificação em toda a configuração, acompanha includes e sinaliza apenas a ordem explorável.

Ele não explora nada, mas, por ser uma ferramenta do próprio pesquisador, não é um produto da fabricante.

Esta é a terceira falha de estouro de heap no código de avaliação de expressões do nginx divulgada em cerca de dois meses, depois de Rift, identificado como CVE-2026-42945 , em maio, e de um bug de capturas sobrepostas no módulo rewrite, CVE-2026-9256, poucos dias depois.

As três pertencem à mesma classe de problema.

O motor de scripts em duas etapas do nginx mede o tamanho de um buffer em uma passagem e escreve nele na seguinte, e em todos os casos a escrita ultrapassa o que foi medido.

O gatilho muda, uma flag antiga no Rift, capturas sobrepostas no bug do rewrite, estado de captura sobrescrito neste caso.

A fraqueza comum, como observam os pesquisadores, é um design em duas etapas que confia demais na própria medição.

Em 20 de julho, a CVE-2026-42533 ainda não constava no catálogo Known Exploited Vulnerabilities da CISA, e não havia código de exploração público.

Shaw afirma que publicará sua própria prova de conceito 21 dias após o patch, e o caso do Rift serve de alerta: o exploit surgiu publicamente em poucos dias e depois houve exploração ativa.

Esse é o motivo para atualizar antes que algo semelhante aconteça com esta falha.

Perguntaram à F5 se a troca para capturas nomeadas realmente encerra por completo a CVE-2026-42533 , diante da variante documentada por Shaw, e quando sairiam as versões corrigidas dos produtos afetados downstream.

Até o momento da publicação, a empresa não havia respondido.

Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...