Falha remota sem autenticação afeta o NGINX
Uma vulnerabilidade de alta gravidade pode atingir servidores que usam o NGINX. Identificada como CVE-2026-15176, ela recebeu pontuação 8,1 e consiste em um estouro de buffer no módulo `ngx_http_core_module`. A falha pode ser acionada remotamente, sem que o atacante precise se autenticar, mas sua exploração depende de condições específicas na configuração do servidor.
O problema está presente no NGINX desde a versão 0.1.29, lançada em maio de 2005. Isso não significa, porém, que toda instalação seja automaticamente vulnerável: o risco depende de como determinadas diretivas foram combinadas. A falha pode ocorrer quando um bloco `location` usa `alias` junto com `rewrite`, `set` ou `return` que envolva a variável `request_filename`. Também merece atenção o uso dessa variável no formato do log de acesso.
A correção para a CVE-2026-15176 foi incluída nas versões 1.31.7 e 1.30.6. Essas atualizações corrigem cinco vulnerabilidades ao todo. De acordo com a F5, responsável pelo projeto, três das falhas podem derrubar o processo worker por meio de uma requisição especialmente preparada. Em determinadas configurações, também existe possibilidade de execução de código, embora esse cenário dependa de o ASLR estar desativado ou ser contornado – uma exigência que reduz o alcance prático do ataque.
Entre os outros problemas de memória corrigidos está a CVE-2026-97205, classificada como use after free. Para que ela seja relevante, o servidor precisa usar AIO e SSI com a opção `include virtual`. Já a CVE-2026-93479 é um estouro de heap relacionado à captura de expressões regulares na diretiva `map`.
As duas vulnerabilidades restantes não são falhas de memória. A CVE-2026-95101 pode permitir a injeção de conteúdo no corpo de uma requisição HTTP/3 e afeta versões entre 1.25.0 e 1.31.6. A CVE-2026-97629, por sua vez, está ligada a tickets de sessão TLS e pode possibilitar a falsificação de uma sessão, contornando em certas circunstâncias a exigência de certificado do cliente.
As versões corrigidas variam conforme o produto. No NGINX de código aberto, a recomendação é atualizar para 1.31.7 ou 1.30.6. O NGINX Plus requer a versão 37.0.5.1 ou 37.1.0.1; o Instance Manager, a 2.24.0; o F5 WAF, a 5.16.0 ou 5.14.2; o Gateway Fabric, a 2.8.0; e o Ingress Controller, a 5.7.0. Instalações em ramificações antigas sem uma correção disponível devem ser migradas para uma versão suportada.
Antes de atualizar, administradores podem verificar se a configuração contém as combinações associadas às falhas. O comando `nginx -T` exibe a configuração ativa e ajuda a localizar diretivas relevantes, incluindo `alias`, `rewrite` e referências a `request_filename`. A análise deve considerar arquivos incluídos, pois as regras podem estar distribuídas por diferentes partes da configuração.
Quando a atualização imediata não for possível, há medidas temporárias para reduzir a exposição. Para a CVE-2026-97205, pode-se desativar AIO ou SSI, conforme a necessidade da aplicação. Para a CVE-2026-93479, a orientação é substituir capturas de expressão regular sem nome por capturas nomeadas. No caso da CVE-2026-15176, deve-se evitar o uso de `alias` dentro de blocos `location` enquanto a correção não for aplicada.
Esses paliativos não substituem a instalação de uma versão corrigida. A desativação de recursos pode afetar funcionalidades do serviço, e mudanças em regras de roteamento ou expressões regulares podem alterar o comportamento da aplicação. Por isso, qualquer ajuste deve ser avaliado em ambiente de teste e documentado antes de ser aplicado em produção.
Depois de editar os arquivos, é importante validar a sintaxe antes de recarregar o serviço. O comando `nginx -t` verifica se a configuração pode ser carregada; se o teste for aprovado, o administrador pode realizar o reload conforme os procedimentos operacionais da empresa. Essa etapa ajuda a evitar indisponibilidade causada por erros de configuração.
A aplicação de correções também deve fazer parte de uma rotina mais ampla de segurança: inventariar versões em uso, identificar sistemas expostos à internet e acompanhar serviços que dependem de recursos específicos do NGINX. Até o momento da divulgação, a F5 não havia relatado exploração ativa das vulnerabilidades. Ainda assim, a ausência de casos confirmados não elimina o risco, especialmente em servidores com configurações que atendam às condições necessárias para o ataque.