Hoje, 19 de outubro, a F5 publicou correções de segurança fora do calendário normal para diversas falhas do NGINX, um dos servidores web mais usados do mundo. Três delas são de gravidade crítica e podem permitir que um atacante execute comandos nos sistemas afetados.

As falhas foram encontradas no módulo ngx_http_v3_module, identificadas como CVE-2026-15176 e CVE-2026-97205, e na diretiva map do NGINX, identificada como CVE-2026-93479. Um atacante remoto, sem nenhum privilégio, pode explorá-las para derrubar o serviço, em um ataque de negação de serviço (DoS), ou para executar código, principalmente em configurações fora do padrão. Em caso de sucesso, o processo que atende as requisições trava ou reinicia. Em alguns cenários, o invasor pode ainda executar código caso a proteção de memória ASLR esteja desativada ou caso consiga contorná-la.

As correções atendem o NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric e NGINX Instance Manager. Para equipes que não conseguem instalar a atualização imediatamente, a fonte indica medidas paliativas: evitar a diretiva alias em blocos location ou a variável $request_filename no caso do CVE-2026-15176; desativar a E/S assíncrona de arquivos (AIO) ou os Server Side Includes (SSI) no caso do CVE-2026-97205; e, para o CVE-2026-93479, usar capturas nomeadas em vez de capturas sem nome, limitando-as ao bloco com a expressão regular.

Até agora a F5 não confirmou que essas falhas estão sendo exploradas na prática. Mesmo assim, a empresa lembra que grupos de crime organizado e de Estados têm atacado produtos F5 com frequência. Esses ataques já serviram para invadir redes corporativas, mapear servidores internos, sequestrar equipamentos, instalar programas que apagam dados e roubar documentos sigilosos.

O histórico também preocupa. Desde novembro de 2021, a agência americana CISA marcou oito vulnerabilidades da F5 como exploradas ativamente, e quatro delas também foram usadas em ataques de ransomware. Em outubro de 2025, a própria F5 revelou que atores patrocinados por governos invadiram seus sistemas em agosto daquele ano e copiaram código-fonte e informações sobre falhas ainda não divulgadas do BIG-IP.

Quem administra sites ou sistemas com NGINX deve aplicar as correções o quanto antes, seguindo as instruções oficiais da F5, e, se não for possível, adotar as medidas paliativas acima. Manter os sistemas atualizados continua sendo a principal defesa.