19
Mai 2026
Alerta de Vulnerabilidade - F5 / NGINX
SISTEMAS AFETADOS
F5 / NGINX
| CVSS v4.0 — Resumo Técnico |
| Vetor |
CVSS:4.0/AV:N/AC:H/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| Vetor de Ataque |
Rede |
Exploração remota via rede |
| Complexidade |
Alta |
Requer configuração específica |
| Privilégios |
Nenhum |
Sem autenticação |
| Interação |
Nenhuma |
Não requer intervenção do utilizador |
Impacto
(C/I/A) |
Alta / Alta / Alta |
Comprometimento total da confidencialidade, integridade e disponibilidade do componente vulnerável |
| Impacto lateral |
Nenhum / Nenhum / Nenhum |
Não há impacto em sistemas subsequentes; o efeito fica totalmente confinado ao processo NGINX afetado |
| Resumo |
Vulnerabilidade crítica com exploração remota e sem autenticação, decorrente de um heap buffer overflow no módulo ngx_http_rewrite_module presente desde 2008. Sob configuração específica, permite negar o serviço via crash do processo worker ou, em sistemas sem ASLR, executar código remoto com os privilégios do processo NGINX. |
Descrição
Foi identificada uma vulnerabilidade crítica, com o identificador CVE-2026-42945/EUVD-2026-30010 , que afeta os servidores web NGINX Open Source (versões 0.6.27 a 1.30.0), NGINX Plus (R32 P6 a R36 P4) e diversos produtos F5 subjacentes. Esta vulnerabilidade caracteriza-se por um heap buffer overflow presente no módulo de configuração ngx_http_rewrite_module [1][2][3].
Impacto
Através do envio de pedidos HTTP especificamente manipulados contendo padrões anómalos de regex, um atacante remoto e não autenticado pode explorar esta vulnerabilidade [1]. A consequência imediata desta corrupção de memória é a interrupção do processo e consequente Negação de Serviço (DoS). No entanto, o impacto agrava-se substancialmente se o sistema operativo servidor tiver a funcionalidade ASLR desativada, condição que abre caminho para Execução Remota de Código (RCE) [3].
Resolução
Recomenda-se a atualização imediata dos componentes vulneráveis para as versões corrigidas indicadas pela F5 Networks [3].
Referências
[1] -
https://nvd.nist.gov/vuln/detail/CVE-2026-42945[2] -
https://euvd.enisa.europa.eu/vulnerability/CVE-2026-42945[3] -
https://my.f5.com/manage/s/article/K000161019
