-----BEGIN PGP SIGNED MESSAGE----- Hash: SHA256 CAIS-Alerta 21/10/2026: Múltiplas vulnerabilidades no NGINX permitem negação de serviço e possível execução remota de código Prezados(as), O CAIS alerta a comunidade de segurança cibernética para múltiplas vulnerabilidades no NGINX Open Source e NGINX Plus, identificadas como CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 e CVE-2026-97629. As falhas podem permitir que atacantes remotos não autenticados provoquem negação de serviço, possível execução remota de código, injeção de dados em requisições HTTP/3 e contorno de mecanismos de autenticação TLS, dependendo das configurações utilizadas. 1. Produtos afetados; 2. Identificadores CVE (http://cve.mitre.org); 3. Descrição das vulnerabilidades; 4. Mitigação e correções disponíveis; e 5. Mais Informações. 1. Produtos afetados: * NGINX Open Source, nas versões vulneráveis das linhas Stable e Mainline; * NGINX Open Source 0.1.29 até 1.31.6, conforme a CVE e a configuração utilizada; * NGINX Plus, em versões afetadas das linhas R33 a R37, conforme o advisory correspondente; * NGINX Ingress Controller, NGINX Gateway Fabric e NGINX Instance Manager, em versões afetadas informadas pela F5; * F5 WAF for NGINX e F5 DoS for NGINX, em versões afetadas informadas pelo fabricante; * Ambientes que utilizem NGINX como servidor web, proxy reverso, balanceador de carga ou gateway de aplicações; * A exposição depende da versão do software e da presença das configurações específicas necessárias à exploração de cada vulnerabilidade. 2. Identificadores CVE (http://cve.mitre.org): * CVE-2026-15176 * CVE-2026-93479 * CVE-2026-97205 * CVE-2026-95101 * CVE-2026-97629 3. Descrição da(s) vulnerabilidade(s): * A CVE-2026-15176 é uma vulnerabilidade de heap-based buffer overflow associada ao uso das diretivas alias e rewrite em conjunto com referências à variável $request_filename; * Em determinadas configurações, um atacante remoto não autenticado pode enviar requisições HTTP especialmente manipuladas, provocando falhas ou reinicializações do processo worker do NGINX; * A CVE-2026-93479 é uma vulnerabilidade de heap-based buffer overflow relacionada à avaliação de expressões e variáveis, especialmente quando a diretiva map utiliza expressões regulares e suas capturas são referenciadas em determinadas configurações; * A exploração da CVE-2026-93479 pode provocar corrupção de memória e reinicialização do processo worker, resultando em negação de serviço; * A CVE-2026-97205 é uma vulnerabilidade de use-after-free que pode ocorrer quando o NGINX utiliza operações assíncronas de entrada e saída de arquivos (AIO) em conjunto com Server Side Includes (SSI), especialmente durante o processamento de comandos include virtual; * A exploração da CVE-2026-97205 pode causar corrupção de memória, falhas no processo worker e interrupção do serviço; * As três vulnerabilidades anteriores também podem possibilitar execução remota de código em sistemas nos quais o mecanismo Address Space Layout Randomization (ASLR) esteja desabilitado ou possa ser contornado pelo atacante; * As CVEs CVE-2026-15176, CVE-2026-93479 e CVE-2026-97205 possuem pontuação CVSS 4.0 de 9.2, classificadas como críticas pela F5, e CVSS 3.1 de 8.1, classificado como alto; * A CVE-2026-95101 é uma vulnerabilidade no processamento de requisições HTTP/3, que pode permitir a injeção de dados em requisições encaminhadas a servidores de backend quando a diretiva proxy_request_buffering está habilitada; * A CVE-2026-97629 é uma vulnerabilidade relacionada à rotação automática de chaves de sessões TLS, que pode permitir a falsificação de sessões e, em determinadas condições, o contorno da verificação de certificados de clientes; * A CVE-2026-95101 possui CVSS 4.0 de 6.9, enquanto a CVE-2026-97629 possui CVSS 4.0 de 8.3; * Apesar da classificação crítica atribuída pela F5 às três falhas de memória, o índice de segurança do NGINX classifica as cinco vulnerabilidades como de severidade média, considerando seus requisitos específicos de exploração; * Até a divulgação dos advisories, a F5 não havia confirmado exploração ativa dessas vulnerabilidades em ataques reais; * As correções foram disponibilizadas em 14/10/2026 para as versões afetadas do NGINX. 4. Mitigação e correções disponíveis: * Recomenda-se atualizar imediatamente o NGINX para uma versão corrigida; * Para NGINX Open Source Stable, atualizar para a versão 1.30.6 ou superior; * Para NGINX Open Source Mainline, atualizar para a versão 1.31.7 ou superior; * Para NGINX Plus, aplicar as versões corrigidas correspondentes à linha utilizada, conforme os advisories oficiais da F5; * Para NGINX Plus na linha LTS 37, utilizar a versão PLS.37.0.7.1 ou superior; * Para NGINX Plus na linha Continuous Release 37, utilizar a versão PLS.37.2.0.1 ou superior; * Para NGINX Ingress Controller, NGINX Gateway Fabric, NGINX Instance Manager e demais produtos relacionados, consultar a matriz oficial da F5 e aplicar as atualizações correspondentes; * Caso não seja possível aplicar imediatamente as correções, recomenda-se revisar configurações que utilizem as diretivas alias e rewrite em conjunto com a variável $request_filename; * Para mitigar temporariamente a CVE-2026-15176, evite configurações que combinem alias com rewrite e referências à variável $request_filename nas condições vulneráveis; * Para a CVE-2026-93479, recomenda-se avaliar o uso de capturas nomeadas em expressões regulares, restringindo sua utilização ao contexto de configuração correspondente; * Para a CVE-2026-97205, recomenda-se desabilitar temporariamente o uso de AIO ou SSI quando aplicável, considerando previamente os impactos operacionais; * Para a CVE-2026-95101, avalie a necessidade de manter HTTP/3 habilitado e considere sua desativação temporária até a aplicação da correção; * Para a CVE-2026-97629, revise as configurações de cache de sessões TLS, rotação de chaves e autenticação por certificados de clientes; * Mantenha o mecanismo ASLR habilitado no sistema operacional, como medida complementar de proteção contra exploração das vulnerabilidades de memória; * Priorize a atualização de servidores expostos à Internet, proxies reversos, balanceadores de carga, gateways e ambientes que hospedem aplicações críticas; * Verifique se imagens de containers, appliances, distribuições Linux ou produtos de terceiros utilizam versões vulneráveis do NGINX; * Em distribuições que utilizem backports de segurança, confirme a aplicação da correção por meio dos advisories do fornecedor, mesmo quando a numeração da versão não corresponder à versão upstream; * Monitore logs do NGINX e do sistema operacional em busca de reinicializações inesperadas de workers, falhas de segmentação, erros anômalos e requisições suspeitas; * Caso haja suspeita de exploração, recomenda-se acionar o processo interno de resposta a incidentes, preservar evidências, coletar logs e revisar a integridade do ambiente. 5. Mais Informações: * NGINX Security Advisories: https://nginx.org/en/security_advisories.html * NGINX News - Atualizações de segurança: https://nginx.org/news.html * F5 Security Advisory - CVE-2026-15176: https://my.f5.com/manage/s/article/K000162416 * F5 Security Advisory - CVE-2026-93479: https://my.f5.com/manage/s/article/K000162607 * F5 Security Advisory - CVE-2026-97205: https://my.f5.com/manage/s/article/K000162608 * F5 Security Advisory - CVE-2026-95101: https://my.f5.com/manage/s/article/K000162613 * F5 Security Advisory - CVE-2026-97629: https://my.f5.com/manage/s/article/K000162606 * NGINX Plus - Release Notes: https://docs.nginx.com/nginx/releases/ * NVD - CVE-2026-15176: https://nvd.nist.gov/vuln/detail/CVE-2026-15176 * NVD - CVE-2026-93479: https://nvd.nist.gov/vuln/detail/CVE-2026-93479 * NVD - CVE-2026-97205: https://nvd.nist.gov/vuln/detail/CVE-2026-97205 * NVD - CVE-2026-95101: https://nvd.nist.gov/vuln/detail/CVE-2026-95101 * NVD - CVE-2026-97629: https://nvd.nist.gov/vuln/detail/CVE-2026-97629 * CISO Advisor - F5 corrige falhas críticas no NGINX: https://www.cisoadvisor.com.br/f5-corrige-falhas-criticas-no-nginx-com-patches-emergenciais/ O CAIS recomenda que os administradores mantenham seus sistemas e aplicativos sempre atualizados, de acordo com as últimas versões e correções oferecidas pelos fabricantes. Os alertas do CAIS também podem ser acompanhados pelas redes sociais da RNP. Siga-nos!! Twitter: @caisRNP Facebook: facebook.com/RedeNacionaldeEnsinoePesquisaRNP. #################################################################### # CAIS - Inteligência em Cibersegurança # # Rede Nacional de Ensino e Pesquisa (RNP) # # cais@rnp.br https://www.rnp.br/cais # # Chave PGP disponível https://plataforma.rnp.br/cais/cais-pgp.key # #################################################################### -----BEGIN PGP SIGNATURE----- iQJPBAEBCAA5FiEE6KGwyf4DXAeZsMz64zp1B1sIAwoFAmrZLXEbFIAAAAAABAAO bWFudTIsMi41KzEuMTIsMiwxAAoJEOM6dQdbCAMKX9QP/1/T9BhYPG+fV9ftXQd1 HqhVp5S93KV8UQjC9qr4r3/h+KgTyyAIuATYZgwQhDqJHXXCRh0nQsYVYDXuSBcj lNO68mT+W3NckJWRQ70SuTO/cTQ15lf2P7BMVUw0M/sPnFQd/oIxUqQPM7oF2CbY 7AEfq1LWzhM8/XxDun4NmP/mRi7Y5xw4XEpGDzx0DcOfnU7V0Y6wEiIEyCDkpTqu bpqfsqVEBGgzVT30mXRYAULDsyRmBjULObyMLVRe8nfcwurv9fAJuLl/6nn9dL2c 9mg97EZoCIJqPB3ip/jxBUgAqwezEFZUhr8JcrsQQJyvnbfYpjdhtv09jOfCbptU itaWfuhhd9CMv58auUNtuKxGQPPRG04gUrsI0i4nx0W7zWuK+65pebozQ3G7S7rs GRG6AX96HvaihwZvz7c/reVQYz7ACwF5Oebom/MWLyhGbrdfxLYn+dcx4cK3raGg 7VWhHLqeUxI7DEWeis42KgS9L/44LVT2hU1dt4o1A96EJOKcjc8iwdO9A2t3yYxH cQb6xD1uDMVXTF8AsZX7x87hrVEvtyn1LBP15Fp2l6vkFrprPbyCai/Wb2ocOzCc YJsnnYmLD3ZNBGl+BzPn9LtSzK43OrEDgQy9NABlwXTVQz+kr4ZipkdPeF07GZ+N fbFaZfH0LgiTmGckda0Nv+Iu =yMYz -----END PGP SIGNATURE-----