Das BSI warnt in Sachen NGINX Plus, da einige Schwachstellen DoS und Codeausführung ermöglichen. Auf GitHub sind die entsprechenden Meldungen bestätigt und auch die Beschreibungen für die Schwachstelle aufgeführt. F5 Networks stellt nötige Updates bereit um die kritischen und hochgefährlichen Lücken zu schließen.
Das BSI warnt vor mehreren Schwachstellen in NGINX Plus unter Linux und UNIX. Betroffen sind nach aktuellem Stand die Versionen NGINX Plus < 37.0.3.1 sowie NGINX Plus < R36 P7. Ein Angreifer kann die Lücken ausnutzen, um beliebigen Programmcode auszuführen, einen Denial-of-Service auszulösen, Daten zu manipulieren oder Informationen offenzulegen. Als CVEs nennt das BSI CVE-2026-42533, CVE-2026-56434, CVE-2026-60005 und CVE-2026-60065.
Eine Lücke in NGINX Plus ist kritisch
Das GitHub Security Advisory zu CVE-2026-42533 beschreibt eine Schwachstelle in NGINX Plus und NGINX Open Source, die durch eine Konfiguration mit map-Direktive und Regex-Matching ausgenutzt werden kann. Ein nicht authentifizierter Angreifer kann über präparierte HTTP-Anfragen einen Heap-Buffer-Overflow im NGINX-Worker-Prozess auslösen, was mindestens zu einem Neustart und damit zu einem DoS führt; unter bestimmten Bedingungen ist auch Codeausführung möglich. Die Schwachstelle betrifft die Datenebene, nicht die Control Plane. Laut GitHub ist die Lücke mit CVSS 9.2 als kritisch eingestuft und wurde am 15. Juli 2026 im Advisory-Datenbestand veröffentlicht.
NGINX selbst nennt für CVE-2026-42533 bereits eine Korrektur in den Versionen nginx-1.30.4 und nginx-1.31.3; in der Advisory-Übersicht wird die Schwachstelle als „Buffer overflow when using map and regex“ beschrieben. NGINX wurde 2019 von F5 Networks übernommen. Seitdem veröffentlicht F5 die offiziellen Sicherheitsadvisories für NGINX Open Source und NGINX Plus und tritt in den CVE-Einträgen als CNA (CVE Numbering Authority) auf.
Jetzt Newsletter abonnieren
Einmal im Monat die besten News von B2B CYBER SECURITY lesenAdministratoren sollten die betroffenen NGINX-Plus-Installationen umgehend patchen und Konfigurationen mit map-Direktiven sowie Regex-Nutzung prüfen.
Mehr bei F5.com