Коллеги, хочу обратить внимание: критические уязвимости в NGINX Open Source (RCE)

Из сферы кибербезопасности: F5 выпустила патчи для двух критических багов в NGINX (CVE-2026-42530, CVE-2026-42055), которые позволяют удалённое выполнение кода при определённых конфигурациях.

Коротко:
- CVE-2026-42530: use-after-free в HTTP/3 (QPACK) — атакующий может вызвать RCE при включённом HTTP/3.
- CVE-2026-42055: heap overflow в proxy/grpc при проксировании HTTP/2 и при настроенных large_client_header_buffers и ignore_invalid_headers.

Что делать:
- Обновить NGINX/F5 до версий с исправлениями.
- Временно отключить HTTP/3 и/или убрать ignore_invalid_headers off / уменьшить large_client_header_buffers.

Почему важно: уязвимости с CVSS 9.2 представляют высокий риск для публичных сервисов.

Есть ли у Вас планы по экстренному обновлению?

#кибербезопасность #NGINX #F5 #RCE