Seit Mitte Mai 2026 wird die Schwachstelle CVE-2026-42945 im ngx_http_rewrite_module von NGINX aktiv ausgenutzt. Sicherheitsforscher fanden den heap-basierten Pufferüberlauf mithilfe eines autonomen Code-Analysewerkzeugs; dem Quellcode zufolge besteht der Fehler seit 2008 und wurde um den 13. Mai 2026 öffentlich. Angreifer können unauthentifizierte HTTP-Anfragen senden, die NGINX-Worker abstürzen lassen; in Ausnahmefällen ist Remote Code Execution möglich, wenn ASLR deaktiviert ist. Betroffene Betreiber sollten Rewrite-Regeln prüfen, den ASLR-Status verifizieren und die von F5s NGINX sowie von Distributoren gelieferten Patches sofort einspielen.

F5s NGINX hat die Sicherheitslücke mit der Kennung CVE-2026-42945 offengelegt. Laut den Entdeckern Zhenpeng (Leo) Lin und DepthFirst AI handelt es sich um einen heap-basierten Pufferüberlauf im Modul ngx_http_rewrite_module. Der Fehler besteht dem Quellcode zufolge bereits seit 2008 und wurde Mitte Mai 2026 öffentlich.

Was die Lücke technisch bedeutet

Die Schwachstelle lässt sich ausnutzen, wenn eine Rewrite-Direktive zusammen mit bestimmten if-, set- oder rewrite-Anweisungen verwendet wird und die Verarbeitung einer Perl-kompatiblen Regulären Expression erfolgt, deren Ersetzung ein Fragezeichen enthält. In diesem Fall kann eine speziell präparierte HTTP-Anfrage einen heap-basierten Pufferüberlauf im NGINX-Worker-Prozess auslösen. Im Regelfall führt das zum Absturz und Neustart des Worker-Prozesses, was einen Denial-of-Service gegen die betroffene Instanz zur Folge hat.

Eine vollständige Remote Code Execution ist nach der veröffentlichten Analyse nur in dem unwahrscheinlichen Szenario möglich, dass die Address Space Layout Randomization auf dem Host abgeschaltet ist. Anders gesagt, ASLR schränkt die Erfolgsaussichten einer vollständigen Kompromittierung stark ein. Trotzdem verschärft die Verfügbarkeit eines Proof-of-Concept-Exploit-Codes auf GitHub und laufende Missbrauchsversuche das Risiko für Betreiber.

Wer ist betroffen und welche Maßnahmen gibt es

Betroffen sind weite Teile des NGINX-Ökosystems. Als verwundbar identifizierte Versionen reichen von NGINX Open Source 0.6.27 bis 1.30.0. F5 nennt in seiner Sicherheitsmitteilung korrigierte Fassungen: NGINX Open Source 1.31.0 und 1.30.1 sowie NGINX Plus 37.0.0, R36 P4 und R32 P6. Für manche NGINX-Produkte, darunter NGINX Instance Manager und NGINX App Protect WAF, lagen zum Zeitpunkt der Bekanntgabe noch keine Fixes vor.

Mehrere Linux-Distributionen veröffentlichten Warnhinweise. Red Hat und Debian stellten Advisorys bereit, und Anbieter von Verwaltungswerkzeugen wie Plesk lieferten Hinweise zur Überprüfung betroffener Konfigurationen und zum ASLR-Status.

Zugleich dokumentierte VulnCheck aktive Angriffe in freier Wildbahn und schätzte die Zahl über das Internet erreichbarer verwundbarer Server auf rund 5,7 Millionen.

Mastheads

Eine alternative Zählung ermittelte bis zu 19 Millionen im Web sichtbare NGINX-Instanzen, davon rund 1,8 Millionen in Deutschland. Diese Gesamtzahlen bedeuten jedoch nicht, dass jede einzelne Instanz automatisch für eine Remote Code Execution angreifbar ist. Viele Umgebungen betreiben ASLR, und nicht jede Konfiguration nutzt die problematischen Rewrite-Pattern.

Dennoch hat die Existenz eines PoC auf GitHub und nachgewiesene Missbrauchsversuche bereits zu Worker-Abstürzen geführt. Betreiber sollten darum zwei Handlungsstränge parallel fahren: kurzfristig gefährdete Server absichern und mittel- bis langfristig die Konfigurationen anpassen.

Praktische Schritte lauten wie folgt. Erstens, prüfen Sie Rewrite-Regeln und suchen Sie nach if-, set- oder rewrite-Anweisungen in Verbindung mit PCRE-Ersetzungen, die ein Fragezeichen enthalten. Zweitens, verifizieren Sie den ASLR-Status auf den Hosts. Drittens, spielen Sie die von F5s NGINX und den Distributoren bereitgestellten Sicherheitsupdates ein. Viertens, beobachten Sie Logs auf wiederholte fehlerhafte Requests, die auf Exploitversuche hindeuten.

Die Korrekturen sind in den genannten NGINX-Open-Source- und NGINX-Plus-Fassungen verfügbar. Distributoren und Drittanbieter haben Sicherheitshinweise veröffentlicht, aber für einzelne Produkte stehen noch ausstehende Fixes an. Sicherheitsteams raten dazu, Patches umgehend zu installieren, insbesondere wenn öffentliche Dienste mit Rewrite-Regeln betrieben werden.

Die unmittelbare Folge der Entdeckung ist damit zweigleisig. Betreiber verletzlicher Server können durch einzelne präparierte Anfragen Dienstunterbrechungen erleben. Gleichzeitig erhöht die öffentliche Verfügbarkeit von Exploitcode und die dokumentierte Ausnutzung den Druck, Patches kurzfristig einzuspielen und Konfigurationen zu prüfen.

Für Betreiber ist die Reihenfolge klar. Priorität haben öffentlich erreichbare Server mit aktiven Rewrite-Regeln.

Administrationskonsolen und Management-Tools sollten ebenfalls überprüft werden, weil dort betroffene NGINX-Instanzen verwaltet werden. Notfallpläne für den Fall wiederkehrender Worker-Abstürze helfen, Dienste schneller wiederherzustellen.

Abschliessend ist zu beachten, dass die Situation dynamisch ist. Exploitcode und PoC sind öffentlich zugänglich, und mehrere Sicherheitsfirmen bestätigten aktive Angriffe. Wer zentrale Webinfrastruktur betreibt, sollte die Hinweise von F5s NGINX, Red Hat, Debian, Plesk und weiteren Distributoren unmittelbar umsetzen.

Related Articles

Die Schwachstelle wurde mit einem CVSS-Score von 9.2 bewertet.

Dieser Artikel wurde mit KI-Unterstützung erstellt.