CVE-2026-42533: heap buffer overflow in NGINX, 15 anni di…

Un heap buffer overflow nel motore a due passaggi di NGINX mette a rischio 15 anni di versioni. La patch è del 15 luglio 2026; RCE condizionato a ASLR disabilitato o

F5 ha corretto il 15 luglio 2026 una vulnerabilità critica nel motore di scripting di NGINX. Il difetto, CVE-2026-42533, risale al 2011 e interessa quindici anni di versioni open source e commerciali. Il motore a due passaggi che gestisce le mappe regex sovrascrive il proprio stato di cattura tra la fase di misurazione e quella di scrittura, con conseguente heap buffer overflow. F5 condiziona l'esecuzione remota di codice alla disabilitazione o al bypass dell'ASLR; un ricercatore indipendente sostiene che la stessa falla consenta il bypass su sistemi di default.

Punti chiave

La vulnerabilità interessa NGINX dalla versione 0.9.6 (2011) alla 1.31.2, coprendo quindici anni di rilasci.
Il meccanismo sfrutta la sovrascrittura dello stato di cattura regex tra la fase di misurazione e quella di scrittura del motore a due passaggi.
F5 condiziona l'RCE alla disabilitazione o al bypass dell'ASLR; il ricercatore Stan Shaw sostiene che la falla stessa consenta il bypass su Ubuntu 24.04, affermazione non verificata indipendentemente.
La mitigazione temporanea basata su catture nominate lascia aperta una seconda strada di exploitation secondo Shaw.

Il motore a due passaggi: meccanismo della falla

Il difetto risiede nel modo in cui NGINX gestisce le espressioni stringa che coinvolgono direttive map con corrispondenza regex. Il motore opera in due fasi: prima misura la memoria necessaria allocando un buffer, poi vi scrive il contenuto effettivo. Tra le due fasi, la valutazione della regex della mappa sovrascrive lo stato di cattura originale che il primo passaggio aveva usato per calcolare la dimensione. Il secondo passaggio scrive quindi dati di lunghezza controllabile dall'attaccante in un buffer di dimensione errata.

Secondo il record ufficiale CVE, la stringa vulnerabile deve referenziare le variabili di cattura regex della mappa prima di referenziare la variabile di output della mappa stessa. Questa sequenza specifica è il trigger che esegue la sovrascrittura dello stato tra i due passaggi. La condizione è configurativa: richiede una mappa regex il cui output venga usato in un'espressione stringa successiva a una cattura numerata da una regex precedente.

Il National Vulnerability Database classifica la falla come CWE-122 (heap buffer overflow) con punteggio CVSS v3.1 di 8.1 (HIGH) e CVSS v4.0 di 9.2 (CRITICAL). Il vettore di attacco è di tipo rete, non richiede privilegi né interazione utente, ma la complessità di attacco è elevata a causa della necessità di raggiungere la configurazione trigger.

L'RCE condizionata e il dibattito sull'ASLR

F5 Networks, nella sua advisory del 15 luglio, circoscrive l'impatto massimo: l'esecuzione remota di codice è possibile su sistemi con ASLR disabilitato o quando l'attaccante possa aggirarlo. In assenza di queste condizioni, l'impatto documentato è il crash e il riavvio ciclico dei worker process, ovvero un denial of service.

Stan Shaw, ricercatore indipendente noto come cyberstan, contesta questa lettura. Secondo quanto riferito a The Hacker News, il buffer sovradimensionato restituisce dati heap non inizializzati, e su una build di default di Ubuntu 24.04 una singola richiesta GET non autenticata recupera gli indirizzi necessari a un payload per il bypass dell'ASLR. Shaw ha dichiarato un tasso di successo del 100% nei propri test — secondo quanto dichiarato dal ricercatore, non verificato indipendentemente.

"A reader of the F5 advisory could reasonably conclude this is DoS-only on default systems. It is not" — Stan Shaw (cyberstan)

Shaw ha inoltre verificato con AddressSanitizer che la mitigazione provvisoria consigliata da F5 — sostituire le catture numerate con catture nominate — lascia aperta una seconda strada attraverso la quale una mappa che definisce lo stesso gruppo nominato della regex di location raggiunge lo stesso overflow.

Versioni vulnerabili e patch

L'intervallo di versioni vulnerabili è eccezionalmente ampio: dalla 0.9.6 del 2011, quando la direttiva map acquisì il supporto regex, fino alla 1.31.2. Le patch rilasciate il 15 luglio sono la versione 1.30.4 per il ramo stable, la 1.31.3 per il ramo mainline, e la release 37.0.3.1 per NGINX Plus.

F5 ha confermato che la vulnerabilità interessa anche NGINX Ingress Controller, NGINX Gateway Fabric, NGINX App Protect WAF e NGINX Instance Manager. Al momento della pubblicazione, il dossier non documenta build corrette per questi quattro prodotti.

La segnalazione della falla è stata il risultato di una convergenza rara: più di una dozzina di ricercatori hanno riportato il problema in modo indipendente, e CVE.org elenca quattordici nomi nei credit ufficiali. Nessun codice di exploit pubblico è disponibile al 20 luglio 2026. Shaw ha preannunciato la pubblicazione di una proof-of-concept a 21 giorni dalla patch, indicativamente il 5 agosto 2026.

Cosa fare adesso

Aggiornare immediatamente a NGINX 1.30.4, 1.31.3 o NGINX Plus 37.0.3.1: queste sono le uniche versioni che chiudono completamente la falla secondo Shaw.
Verificare la presenza di configurazioni map con regex il cui output sia referenziato in espressioni stringa dopo catture numerate da regex precedenti: questa è la condizione trigger documentata.
Valutare che la mitigazione con catture nominate non chiude tutte le strade di exploitation secondo la verifica del ricercatore.
Monitorare la pubblicazione del PoC prevista per agosto 2026 per valutare la propria esposizione concreta.

Limiti della fonte e note editoriali

Questa analisi si basa principalmente sull'advisory F5 via The Hacker News, con dati strutturali da NVD e CVE.org. Le claim tecniche avanzate di Stan Shaw — incluso il bypass dell'ASLR su Ubuntu 24.04 e il tasso di successo del 100% — non sono state verificate indipendentemente. Il brief esplicitamente vieta di confondere CVE-2026-42533 con vulnerabilità NGINX distinte riportate in fonti contestuali.

La fonte non specifica se le build corrette per NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager siano disponibili. La fonte non specifica se exploitation in-the-wild sia stata confermata: al 20 luglio 2026, la CVE non risulta nel catalogo KEV di CISA.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti