-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

CAIS-Alerta 15/05/2026: Vulnerabilidade no módulo de reescrita do NGINX permite DoS e possível execução remota de código

Prezados(as),

O CAIS alerta a comunidade de segurança cibernética para vulnerabilidade identificada como CVE-2026-42945, que afeta o módulo ngx_http_rewrite_module do NGINX. A falha pode permitir que um atacante remoto não autenticado cause negação de serviço e, em condições específicas, possibilite execução remota de código.

1) Produtos afetados;
2) Identificadores CVE (http://cve.mitre.org);
3) Descrição das vulnerabilidades;
4) Mitigação e correções disponíveis; e
5) Mais Informações.


1) Produtos afetados:

- - NGINX Open Source, versões 0.6.27 até 1.30.0;
- - NGINX Plus, em versões afetadas, com correções disponibilizadas para versões específicas;
- - Produtos baseados em NGINX Open Source ou NGINX Plus podem estar impactados, conforme avaliação do fabricante;
- - De acordo com a página oficial de advisories do NGINX, as versões 1.30.1 ou superiores e 1.31.0 ou superiores não são vulneráveis à CVE-2026-42945.


2) Identificadores CVE (http://cve.mitre.org):

- - CVE-2026-42945


3) Descrição da(s) vulnerabilidade(s):

- - A vulnerabilidade CVE-2026-42945 ocorre no módulo ngx_http_rewrite_module do NGINX e está associada a um heap-based buffer overflow;
- - A falha pode ser explorada quando uma diretiva rewrite é seguida por outra diretiva rewrite, if ou set, utilizando capturas PCRE não nomeadas, como $1 ou $2, com uma string de substituição que contém ponto de interrogação (?);
- - Um atacante remoto não autenticado pode enviar requisições HTTP especialmente manipuladas para explorar a condição vulnerável;
- - A exploração pode causar reinicialização do processo worker do NGINX, resultando em negação de serviço. Em sistemas com ASLR desabilitado, a falha também pode possibilitar execução de código;
- - A vulnerabilidade foi reportada como existente há cerca de 18 anos no código do NGINX e foi identificada por pesquisadores da DepthFirst AI.


4) Mitigação e correções disponíveis:

- - Recomenda-se atualizar o NGINX para uma versão corrigida;
- - NGINX Open Source: atualizar para a versão 1.30.1 ou superior;
- - NGINX Mainline: atualizar para a versão 1.31.0 ou superior;
- - Para NGINX Plus, aplicar as correções disponibilizadas pelo fabricante, conforme a versão em uso;
- - Como medida adicional, recomenda-se revisar as configurações do NGINX, especialmente regras rewrite que utilizem capturas não nomeadas, como $1 e $2, em conjunto com diretivas rewrite, if ou set;
- - Sempre que possível, substitua capturas não nomeadas por capturas nomeadas e valide a configuração antes de reiniciar o serviço;
- - Também é recomendado verificar se o NGINX está embarcado em appliances, controladores de ingress, soluções de WAF, balanceadores, proxies reversos ou produtos de terceiros, pois a correção pode depender de atualização específica do fornecedor.


5) Mais Informações:

- - NVD - CVE-2026-42945:
  https://nvd.nist.gov/vuln/detail/CVE-2026-42945

- - NGINX Security Advisories:
  https://nginx.org/en/security_advisories.html

- - NGINX News:
  https://nginx.org/news.html

- - F5 Advisory - K000161019:
  https://my.f5.com/manage/s/article/K000161019

- - DepthFirst AI - NGINX Rift:
  https://depthfirst.com/research/nginx-rift-achieving-nginx-rce-via-an-18-year-old-vulnerability

- - CSO Online:
  https://www.csoonline.com/article/4171437/ai-agent-finds-18-year-old-remote-code-execution-flaw-in-nginx.html


O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes.

Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!!
Twitter: @caisRNP
Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP.

####################################################################
#         CAIS - Inteligência em Cibersegurança
#         Rede Nacional de Ensino e Pesquisa (RNP)
# cais@cais.rnp.br          https://www.rnp.br/cais
# Chave PGP disponível https://plataforma.rnp.br/cais/cais-pgp.key
####################################################################
-----BEGIN PGP SIGNATURE-----
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=OCno
-----END PGP SIGNATURE-----