Die NGINX-Schwachstelle CVE-2026-42945 wird nach aktuellen Berichten bereits aktiv ausgenutzt. Betroffen sind NGINX Open Source und NGINX Plus; die Lücke sitzt im Modul ngx_http_rewrite_module und kann durch speziell präparierte HTTP-Anfragen ausgelöst werden. Die National Vulnerability Database – NVD bewertet die Schwachstelle unter CVSS-4.0 mit 9.2 als kritisch.
Konkret handelt es sich bei der Schwachstelle um einen Heap-Buffer-Overflow, der in bestimmten Rewrite-Konfigurationen auftritt. Laut NVD entsteht das Problem, wenn eine Rewrite-Direktive von einer weiteren Rewrite-, If- oder Set-Direktive gefolgt wird und dabei unbenannte PCRE-Captures wie $1 oder $2 mit einem Ersetzungstext verwendet werden, der ein Fragezeichen enthält. In diesem Fall kann ein nicht authentifizierter Angreifer mit einer manipulierten Anfrage den Worker-Prozess zum Absturz bringen und unter günstigen Bedingungen sogar Code ausführen.
Keine Authentifizierung notwendig – Abstürze möglich
Besonders kritisch ist, dass für die Ausnutzung keine Authentifizierung erforderlich ist. Während der unmittelbare Schaden zunächst in Abstürzen und Neustart-Schleifen besteht, warnen Sicherheitsexperten davor, dass bei deaktiviertem oder umgehbarem ASLR auch Remote Code Execution – RCE – möglich ist. Damit kann aus einem zunächst scheinbar „nur“ störenden Fehler eine ernsthafte Kompromittierung des Servers werden. Aktives ASLR erschwert Exploits zwar den weiteren Zugriff, aber es beseitigt die Schwachstelle nicht.
Die betroffenen Versionen reichen laut den vorliegenden Quellen von 0.6.27 bis 1.30.0 bei NGINX Open Source; für NGINX Plus sind ebenfalls mehrere Release-Zweige betroffen. Als Gegenmaßnahme empfiehlt sich ein Update auf NGINX 1.30.1 oder 1.31.0 beziehungsweise auf die von NGINX/F5 bereitgestellten korrigierten NGINX-Plus-Versionen. Zusätzlich sollten Administratoren ihre Rewrite-Regeln prüfen und riskante Konstrukte mit unbenannten Captures möglichst durch benannte Captures ersetzen.
Da die Schwachstelle bereits öffentlich bekannt ist und Aktivität in freier Wildbahn gemeldet wurde, sollte die Aktualisierung ohne Verzögerung erfolgen.
Mehr bei NVD.Nist.gov