Критическая дыра в NGINX: CVE-2026-42533 грозит захватом веб-сервера

Коротко о главном

В NGINX закрыли критическую уязвимость CVE-2026-42533 (CVSS 9.2) — переполнение кучи в движке обработки переменных, которое срабатывает при использовании регулярных выражений в директиве map. Неавторизованный удалённый злоумышленник может аварийно завершить рабочий процесс сервера (отказ в обслуживании), а при отсутствии или обходе ASLR — добиться выполнения произвольного кода. F5 выпустила исправление 15 июля 2026 года, а 28 июля исследователи опубликовали полноценный эксплойт. Действие одно: срочно обновить NGINX до пропатченной версии.

Уязвимость затрагивает практически все выпуски NGINX с 2011 года, а на этом веб-сервере, по разным оценкам, работает около трети сайтов в мире, — поэтому потенциальная поверхность атаки колоссальна. Если у вас есть открытые в интернет инстансы NGINX или NGINX Plus, проверку версии стоит поставить в приоритет уже сегодня: команда информационной безопасности и DevOps-инженеры должны действовать до того, как автоматизированные сканеры доберутся до ваших узлов.

Важный нюанс: одного факта установки NGINX недостаточно, чтобы стать уязвимым, — нужна конкретная конфигурация с regex-картой. Но полагаться на это как на защиту нельзя: такие конструкции широко распространены в реальных конфигах, и правильный ответ — не аудит директив, а немедленное обновление. Ниже разбираем, что именно сломано, кого это касается и как закрыть проблему без простоя.

Что за уязвимость

CVE-2026-42533 — это переполнение буфера в куче (heap buffer overflow) внутри скриптового движка NGINX. Уязвимость проявляется, когда выходная переменная regex-карты (map с регулярным выражением) используется в строковых выражениях вместе с нумерованными группами захвата из предыдущих совпадений. Корень проблемы — двухпроходная модель вычисления строк в NGINX: на первом проходе сервер измеряет нужный размер буфера, на втором — записывает данные. Если между этими проходами вычисляется regex-карта, она перезаписывает общее состояние групп захвата, и на этапе записи данные выходят за пределы измеренного буфера.

Оценка серьёзности — 9.2 по CVSS 4.0 (8.1 по CVSS 3.1), то есть критический уровень. Атака выполняется удалённо, без аутентификации и без взаимодействия с пользователем: достаточно отправить специально сформированные HTTP-запросы. Минимальный сценарий — падение воркеров и отказ в обслуживании; максимальный — удалённое выполнение кода в контексте рабочего процесса NGINX. По данным исследователей, отдельно отслеживается смежная проблема CVE-2026-42945, также приводящая к аварийному завершению воркеров, поэтому обновление закрывает не одну, а связку дефектов.

Кого это касается: почти все версии за 15 лет

Уязвимы все версии NGINX с 0.9.6 по 1.31.2 включительно — диапазон, уходящий корнями в 2011 год, когда модуль map получил поддержку регулярных выражений. Иными словами, если сервер не обновлялся до самых свежих релизов, он почти наверняка в зоне риска. Проблема одинаково касается и открытого NGINX, и коммерческого NGINX Plus.

Масштаб определяется распространённостью продукта: NGINX — один из самых популярных веб-серверов и обратных прокси в мире, он стоит перед огромной долей сайтов, API-шлюзов и балансировщиков нагрузки. Для российских команд это особенно чувствительно: NGINX — фактически отраслевой стандарт во фронтенде инфраструктуры, от небольших проектов до высоконагруженных порталов. Наличие публичного эксплойта превращает «теоретическую» уязвимость в задачу, которую нужно закрывать в режиме инцидента, а не планового обновления.

Хронология: от патча до боевого эксплойта

События развивались быстро. 15 июля 2026 года F5 выпустила исправленные версии. 19 июля информация была раскрыта публично, а уже 20 июля появился публичный сканер, позволяющий выявлять уязвимые узлы. 28 июля команда исследователей DepthFirst опубликовала полноценный эксплойт-цепочку: он объединяет утечку памяти в модуле stream с переполнением кучи, чтобы восстановить адреса кучи и libc, обойти ASLR, разместить поддельные структуры ngx_pool_cleanup_s и перенаправить обработку очистки на функцию system() из libc — то есть добиться выполнения команд.

Ключевая деталь этого эксплойта в том, что он не требует отключённого ASLR: механизм сам добывает нужные адреса памяти за счёт информационной утечки. Это снимает главный барьер, на который обычно рассчитывают при защите от переполнений кучи, и делает сценарий RCE куда более реалистичным, чем при типичной уязвимости такого класса.

Что делать прямо сейчас

Единственное надёжное решение — обновление. Пропатченные версии: NGINX 1.30.4 (stable), NGINX 1.31.3 (mainline) и NGINX Plus 37.0.3.1. Практическая последовательность действий для команд:

Первое — инвентаризируйте все инстансы NGINX и NGINX Plus, включая те, что скрыты внутри контейнеров, образов, ingress-контроллеров Kubernetes и сторонних приложений, которые поставляют NGINX «в комплекте». Нельзя обновить то, о существовании чего вы не знаете.

Второе — обновите до исправленных версий в приоритетном порядке, начиная с узлов, открытых в интернет. Обычная эксплуатационная гигиена: сначала стенд, затем прод, но с сжатым окном, учитывая наличие публичного эксплойта.

Третье — если немедленное обновление невозможно, снизьте риск на уровне периметра: ограничьте и фильтруйте подозрительные HTTP-запросы через WAF, усильте мониторинг падений воркеров и аномалий в логах. Это паллиатив, а не замена патчу.

Четвёртое — проверьте цепочку поставки. Многие продукты используют NGINX как встроенный компонент; уточните у вендоров, входит ли исправление в их обновления, и обновите зависимые образы. Регулярный ИТ-аудит инфраструктуры помогает заранее знать, где именно в вашем ландшафте живёт уязвимый компонент.

Почему это важно за пределами одного CVE

История CVE-2026-42533 — наглядная иллюстрация того, как «тихий» инфраструктурный компонент становится критической точкой отказа. Веб-сервер редко попадает в поле зрения продуктовых команд: он «просто работает» годами. Но именно долгоживущие, повсеместно развёрнутые компоненты дают злоумышленникам самый широкий охват при минимальных усилиях — одна уязвимость открывает доступ к тысячам одинаково настроенных узлов.

Практический вывод для инженерных команд: управление уязвимостями в базовой инфраструктуре должно быть таким же дисциплинированным процессом, как выпуск фич. Актуальный реестр компонентов, автоматическое отслеживание CVE в используемых версиях, отлаженный процесс экстренного патчинга и понимание цепочки поставки ПО — не бюрократия, а то, что отделяет спокойное обновление за один вечер от разбора инцидента после компрометации.

Часто задаваемые вопросы

Что такое CVE-2026-42533? Это критическая уязвимость NGINX (CVSS 9.2) — переполнение буфера в куче в движке обработки переменных, срабатывающее при использовании regex в директиве map. Неавторизованный удалённый атакующий может вызвать отказ в обслуживании, а при обходе ASLR — выполнение произвольного кода.

Какие версии уязвимы? Все выпуски NGINX с 0.9.6 по 1.31.2 включительно, а также соответствующие версии NGINX Plus. Диапазон охватывает практически все сборки с 2011 года.

В каких версиях исправлено? В NGINX 1.30.4 (stable), 1.31.3 (mainline) и NGINX Plus 37.0.3.1. Обновление — единственное надёжное решение.

Есть ли публичный эксплойт? Да. 28 июля 2026 года исследователи опубликовали полноценную эксплойт-цепочку с обходом ASLR, что существенно повышает риск удалённого выполнения кода. Откладывать обновление нельзя.

Я уязвим, если просто использую NGINX? Для срабатывания нужна конфигурация с regex-картой, но такие конструкции распространены, а полагаться на анализ конфигов вместо патча небезопасно. Правильный ответ — обновиться.

Источники

F5 / NGINX Security Advisory — исправление CVE-2026-42533 в NGINX 1.30.4, 1.31.3 и NGINX Plus 37.0.3.1, 15 июля 2026 года (первоисточник).

The Hacker News — Critical NGINX Vulnerability Can Crash Workers and May Allow Remote Code Execution, июль 2026 года.

Help Net Security — освещение выхода публичного эксплойта DepthFirst для CVE-2026-42533, июль 2026 года.