Tento report bol preložený pomocou AI; preklad zatiaľ nikto neskontroloval. Pôvodný jazyk: čeština.

[TLP:CLEAR] F5 NGINX opravuje kritickú zraniteľnosť

F5 Networks opravuje kritickú zraniteľnosť v NGINX [1]. Opravené verzie jednotlivých produktov: NGINX Plus - 37.0.3.1, R36 P7 NGINX Open Source - 1.31.3, 1.30.4 F5 WAF for NGINX - 5.13.4 NGINX Gateway Fabric - 2.6.7 NGINX Ingress Controller - 5.5.3, 2026-lts-r4

F5 NGINX - DoS, RCE (CVE-2026-42533)
CVSS 9.2 (Critical)

Neautentizovanému vzdialenému útočníkovi je za určitých podmienok zasielaním špeciálne upravených HTTP požiadaviek umožnené vykonať útok DoS na NGINX a potenciálne aj spustiť kód. Zraniteľnosť je možné zneužiť na špecificky nakonfigurovaných systémoch využívajúcich direktívu map s regulárnymi výrazmi v kombinácii s neštandardným poradím referencovania premenných. Ak nie je okamžitá aktualizácia na opravenú verziu možná, je možné riziko dočasne mitigovať nahradením nepomenovaných premenných pomenovanými a obmedzením ich referencovania výhradne na konfiguračný blok, v ktorom boli definované [1].

Zraniteľnosť sa nachádza v produktoch:

  • NGINX Plus; >=37.0.0.1, <37.0.3.1; >=R33, <R36 P7;
  • NGINX Open Source; >=1.30.0, <1.30.4; ==1.31.2;
  • NGINX Instance Manager; >=5.9.0, <5.13.4;
  • NGINX App Protect WAF; >=4.11.0, <=4.16.0; >=5.2.0, <=5.8.0;
  • NGINX Gateway Fabric; >=1.3.0, <=1.6.2; >=2.0.0, <2.6.7;
  • NGINX Ingress Controller; >=3.5.0, <=3.7.2; >=4.0.0, <=4.0.1; >=5.0.0, <5.5.3; >=2026-lts-r1, <2026-lts-r4;

CVSS: CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Viac informácií:

Zraniteľnosť bola verejne oznámená 15. 7. 2026.

Za CESNET, z.s.p.o. Michaela Ručková dňa 20. 7. 2026.

CESNET, z.s.p.o. Logo