وصله اضطراری F5 برای آسیب‌پذیری NGINX منتشر شد
F5 برای سه آسیب‌پذیری NGINX با شدت بحرانی وصله اضطراری منتشر کرد؛ نقص‌هایی که می‌توانند به اختلال سرویس یا اجرای کد منجر شوند.
F5 برای آسیب‌پذیری NGINX وصله‌های امنیتی خارج از برنامه منتشر کرد. سه نقص با شدت بحرانی می‌توانند به مهاجمان راه دور و بدون نیاز به سطح دسترسی، امکان ایجاد اختلال در سرویس یا اجرای کد روی سامانه‌های دارای پیکربندی غیراستاندارد را بدهند.
دو مورد از این آسیب‌پذیری‌ها، با شناسه‌های CVE-2026-15176 و CVE-2026-97205، در ماژول ngx_http_v3_module قرار دارند. نقص سوم، CVE-2026-93479، به دستور map در NGINX مربوط است. سوءاستفاده موفق می‌تواند باعث سرریز بافر مبتنی بر heap یا use-after-free در فرایند worker شود و به خرابی یا راه‌اندازی دوباره سرویس بینجامد.
F5 هشدار داده است که در صورت غیرفعال بودن ASLR یا عبور مهاجم از آن، اجرای کد نیز ممکن است. وصله‌ها برای NGINX Plus، NGINX Open Source، NGINX Ingress Controller، NGINX Gateway Fabric و NGINX Instance Manager عرضه شده‌اند؛ بنابراین تیم‌های زیرساخت باید به‌روزرسانی این محصولات را در اولویت قرار دهند.
تا زمان نصب وصله، برای CVE-2026-15176 می‌توان از استفاده از alias در بلوک location و متغیر $request_filename پرهیز کرد. غیرفعال‌کردن AIO یا SSI نیز ریسک CVE-2026-97205 را کاهش می‌دهد. برای CVE-2026-93479، استفاده از captureهای نام‌دار و محدودکردن آن‌ها به بلوک تطبیق regex توصیه شده است. F5 هنوز سوءاستفاده فعال از این نقص‌ها را گزارش نکرده است.
منبع: BleepingComputer
پروژه‌ای در این زمینه دارید؟
مشاوره‌ی اولیه و برآورد هزینه رایگان است.
