F5 wurde am 15. Juli veröffentlicht ein entscheidendes Update für NGINXnach der Entdeckung einer kritischen Sicherheitslücke, CVE-2026-42533. Dieser Fehler, der seit 2011 in der Skript-Engine des beliebten Webservers vorhanden ist (Version 0.9.6), öffnet die Tür für potenziell verheerende Angriffe. Hierbei handelt es sich nicht nur um einen Fehler: Ein nicht authentifizierter Angreifer kann einen Denial-of-Service (DoS) oder, schlimmer noch, eine Remotecodeausführung (RCE) verursachen und möglicherweise Millionen von NGINX-Servern auf der ganzen Welt ins Visier nehmen.
Was macht diese NGINX-Sicherheitslücke so gefährlich?
Dieser auf der CVSS v4-Skala (Common Vulnerability Scoring System) mit 9,2 bewertete Fehler geht weit über einen einfachen Denial-of-Service (DoS / Denial of Service) hinaus. Der Forscher Stan Shaw, auch bekannt unter dem Pseudonym Cyberstan, hat es demonstriert: Es ermöglicht eine Umgehung von ASLR (Address Space Layout Randomization) durch Offenlegung wichtiger Speicheradressen. Um diese Informationen zu erhalten, reicht eine einzige nicht authentifizierte HTTP-Anfrage aus. Das ist die wahre Bedrohung! Das F5-Team versuchte zunächst, Code aus der Ferne auszuführen abhängig von der Deaktivierung von ASLR; Eine Einschätzung, die Shaw mit einer Zuverlässigkeitsbewertung von 10 von 10 auf einem Standard-Ubuntu 24.04-System bestreitet. Dies ist eine entscheidende Unterscheidung was alles verändert.
Der Umfang dieser NGINX-Sicherheitslücke ist gigantisch. Es betrifft alle Versionen von NGINX Open Source von 0.9.6 bis 1.31.2 und NGINX Plus von R33 bis 37.0.2.1, ein Zeitraum von fast 15 Jahren. Die Tatsache, dass NGINX rund ein Drittel aller Webserver weltweit betreibt, macht diesen Fehler zu einer globalen Zeitbombe. Und der Countdown läuft: Shaw hat die Veröffentlichung eines vollständigen Proof-of-Concept (PoC) bis zum 5. August angekündigt, der eine Angriffswelle verspricht.
Wie konnte diese Sicherheitslücke so lange unbemerkt bleiben?
Die Wurzel des Problems liegt tief in der NGINX-Skript-Engine, insbesondere in der Handhabung von „map“-Direktiven, die auf regulären Ausdrücken (Regex) und den daraus resultierenden Captures basieren. NGINX arbeitet mit einer zweistufigen Auswertung: Der erste misst die benötigte Größe für einen Speicherpuffer, der zweite schreibt die Daten dorthin. Das Problem? Zwischen diesen beiden Durchgängen kann ein gemeinsam genutzter Capture-Status (r->captures) durch die Auswertung eines anderen regulären Ausdrucks in einer „map“-Direktive überschrieben werden. Der Puffer wird mit einer Größe zugewiesen, aber mit Daten einer anderen Größe gefüllt. Es ist diese Diskrepanz zwischen der gemessenen Größe und der geschriebenen Größe, die zum berühmten Heap-Pufferüberlauf führtoder Heap-Pufferüberlauf.
Noch überraschender ist, dass dieses Verhalten nicht völlig unbekannt war. Ein ähnlicher Fehler wurde bereits 2014 vom Entwickler Maxim Dounin in einem NGINX-Ticket gemeldet, jedoch nie vollständig als kritische Sicherheitslücke behandelt. Diese Nachlässigkeit oder mangelnde Tiefe der Beurteilung ließ die Tür mehr als ein Jahrzehnt lang offen. Man muss sagen: Diese Schwachstelle ist kein Einzelfall. Es ist der dritte in einer Reihe von Pufferüberläufen, die kürzlich im Ausdrucksauswertungscode von NGINX entdeckt wurden, was auf eine anhaltende Architekturschwäche in der Speicherverwaltung hinweist.
Welche Maßnahmen sollten Administratoren dringend ergreifen?
Jetzt ist nicht mehr die Zeit für Spekulationen, sondern für sofortiges Handeln. Die einzig vollständige und zuverlässige Lösung ist eine verzögerungsfreie Aktualisierung. Die festen Versionen sind NGINX 1.30.4 (stabil), 1.31.3 (Hauptversion) und NGINX Plus 37.0.3.1. Administratoren von NGINX Ingress Controller, Gateway Fabric oder App Protect WAF sollten die Veröffentlichung dedizierter Patches durch F5 sorgfältig überwachen, da diese noch nicht verfügbar waren. Es ist ein Wettlauf gegen die Zeit.
Für diejenigen, die nicht sofort patchen können, bietet F5 eine vorübergehende Abhilfe: Die betroffenen „Map“-Anweisungen werden auf benannte Captures umgestellt. Aber seien Sie vorsichtig: Stan Shaw hat trotz dieser Abschwächung einen sekundären Ausbeutungsweg identifiziert. Dies bedeutet, dass dieser Ansatz keinen vollständigen Schutz bietet. Der Forscher stellte außerdem einen statischen Konfigurationsscanner (0xCyberstan/CVE-2026-42533-Config-Scanner) auf GitHub zur Verfügung. Mit diesem Tool können Sie Ihre Konfigurationen schnell überprüfen und anfällige Muster erkennen. Dies ist ein wesentlicher Reflex, den man haben muss, noch bevor die öffentliche Leistung Anfang August stattfindet. Verlassen Sie sich auch nicht auf frühere Patches für andere NGINX-Schwachstellen (wie CVE-2026-42945 oder CVE-2026-9256). Sie decken diese spezifische Schwachstelle absolut nicht ab. Jeder Riss ist eine Schlacht für sich.
Häufig gestellte Fragen (FAQ)
Ist mein NGINX-Server mit ASLR vor Remotecodeausführung geschützt?
Nein. Obwohl F5 erwähnte, dass ASLR für Remote Code Execution (RCE) deaktiviert oder umgangen werden sollte, beweisen Stan Shaws Untersuchungen, dass CVE-2026-42533 eine eigene ASLR-Umgehung enthält. Es kann tatsächlich nicht initialisierte Speicheradressen zurückgeben, selbst auf einem System, auf dem ASLR standardmäßig aktiviert ist, und ermöglicht so eine zuverlässige RCE. Der einzige Schutz ist ein Update.
Ist meine alte NGINX-Version zwangsläufig angreifbar?
Alle Versionen von NGINX Open Source von 0.9.6 bis 1.31.2 (und entsprechendes NGINX Plus) sind potenziell anfällig. Der Betrieb hängt jedoch von Ihrer spezifischen Serverkonfiguration ab. Es werden nur Instanzen angezeigt, die eine „map“-Direktive mit einem regulären Ausdruck verwenden und auf Capture-Variablen aus einem vorherigen regulären Ausdruck im selben Zeichenfolgenausdruck verweisen. Shaws Scanner ist der sicherste Weg, dies zu überprüfen.
Wird der Proof-of-Concept (PoC) wirklich um den 5. August herum veröffentlicht?
Ja, Stan Shaw hat ausdrücklich bestätigt, dass er den PoC 21 Tage nach dem Patch-Datum (15. Juli) veröffentlichen wird, was uns auf den 5. August bringt. Dabei handelt es sich nicht um ein Gerücht, sondern um eine bewusste Verpflichtung, Administratoren eine kurze Reaktionszeit zu geben. Der Präzedenzfall des „NGINX Rift“-Fehlers zeigt, dass die aktive Ausnutzung innerhalb weniger Tage nach der Veröffentlichung eines PoC beginnen kann. Es muss jetzt gehandelt werden.
