Webserver auf NGINX-Open-Source- und NGINX-Plus-Basis sind angreifbar. Angreifer konnten über eine nun geschlossene Schwachstelle ansetzen und im schlimmsten Fall über Schadcode Systeme kompromittieren.

Laut einer Warnmeldung der Entwickler soll die Sicherheitslücke (CVE-2026-9256 „hoch“) in NGINX Open Source 1.30.2 und 1.31.1 und NGINX Plus 37.0.11, R32 P7 und R36 P5 nun geschlossen sein. Laut F5 gibt es keine Berichte, dass Angreifer die Schwachstelle bereits ausnutzen.

Das ngx_http_rewrite_module ist die betroffene Komponente. In diesem Kontext kommt es aufgrund der Schwachstelle zu Fehlern bei der Verarbeitung, was zu einem Speicherfehler führt. Angreifer können daran mit präparierten HTTP-Anfragen ansetzen, um DoS-Zustände auszulösen oder sogar Schadcode auszuführen.

(ts, hannover)

(siehe auch: Heise-News-Ticker)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE