NGINX WebDAV: scoperta RCE pre-autenticazione in ZDI-26-578

L'advisory ZDI-26-578 pubblicato il 13 agosto 2026 da TrendAI Zero Day Initiative svela una vulnerabilità critica nel modulo HTTP DAV di NGINX. La falla consente esecuzione remota di codice arbitrario senza richiedere credenziali, sfruttando un integer underflow nel parsing della direttiva Alias. Il pericolo è concreto per le infrastrutture che espongono funzionalità WebDAV, spesso abilitate su server di file sharing o cloud self-hosted e poi trascurate nella gestione dei patch.

Come funziona l'attacco: l'integer underflow nella direttiva Alias

La falla risiede nel parsing delle richieste WebDAV all'interno del modulo HTTP DAV di NGINX. La direttiva Alias, utilizzata per mappare percorsi URL a directory del filesystem, non valida correttamente i dati forniti dall'attaccante. Questo porta a un integer underflow — un errore aritmetico in cui un valore numerico scende al di sotto del minimo rappresentabile — immediatamente prima di una scrittura in memoria.

L'underflow corrompe i calcoli di dimensione del buffer, consentendo scritture fuori bounds. Da qui l'attaccante ottiene il controllo del flusso di esecuzione e può iniettare codice arbitrario. L'advisory ZDI specifica che l'esecuzione avviene nel contesto dell'account di servizio NGINX, con tutti i privilegi associati a quel contesto operativo.

"This vulnerability allows remote attackers to execute arbitrary code on affected installations of NGINX. Authentication is not required to exploit this vulnerability." — ZDI Advisory ZDI-26-578

Perché WebDAV è il punto cieco delle infrastrutture

Il protocollo WebDAV (Web Distributed Authoring and Versioning) estende HTTP per consentire operazioni di file management remoto: lettura, scrittura, spostamento, copia di documenti su server web. NGINX lo supporta tramite il modulo ngx_http_dav_module, spesso abilitato su piattaforme di storage cloud self-hosted, server aziendali di condivisione file e gateway di sincronizzazione dati.

Il problema è che queste configurazioni tendono a invecchiare senza manutenzione. Un amministratore abilita WebDAV per un'esigenza temporanea, il servizio resta attivo, e il modulo diventa parte della superficie di attacco senza più rientrare nei cicli di patch management. L'advisory ZDI non elenca versioni specifiche affette, ma la logica è chiara: ogni istanza NGINX con il modulo HTTP DAV attivo e esposta alla rete è potenzialmente a rischio.

La combinazione di RCE pre-autenticazione e esecuzione come service account eleva la criticità. Non si tratta di una semplice negazione di servizio o di una fuga di informazioni: è compromissione completa del server con un singolo pacchetto HTTP craftato.

Timeline e coordinazione responsabile

La vulnerabilità è stata segnalata al vendor il 6 marzo 2026. Il rilascio coordinato dell'advisory è avvenuto il 13 agosto 2026, dopo oltre cinque mesi di gestione responsabile. Il record CVE-2026-27654 è stato pubblicato il giorno successivo, il 14 agosto 2026, alle 18:29 UTC.

Questa finestra temporale è standard per le disclosure coordinate: il tempo permette al vendor di preparare una patch prima che i dettagli tecnici diventino pubblici. Tuttavia, l'advisory ZDI non specifica se una patch ufficiale sia disponibile al momento della pubblicazione, né quali versioni di NGINX siano interessate o meno. Il dossier non documenta, inoltre, lo stato di eventuali exploit in-the-wild o la diffusione di proof-of-concept pubblici.

Cosa fare adesso

La fonte primaria non elenca misure correttive specifiche. Sulla base dei fatti verificati, le priorità operative emergono dalla natura stessa della vulnerabilità:

• Verificare se il modulo HTTP DAV sia attivo nelle proprie istanze NGINX e se esponga servizi WebDAV alla rete.
• Individuare le configurazioni con direttiva Alias nel contesto di location WebDAV, che costituiscono il percorso di attacco documentato.
• Monitorare il rilascio di aggiornamenti ufficiali da parte del progetto NGINX o di F5 Networks, che gestisce il prodotto enterprise.
• Valutare la disabilitazione temporanea del modulo HTTP DAV dove WebDAV non sia funzionalmente necessario, riducendo la superficie di attacco.

Il vero problema: moduli dimenticati, server esposti

La lezione di ZDI-26-578 non è solo tecnica. Ogni anno emergono vulnerabilità in componenti opzionali di software ampiamente distribuito, e ogni anno la storia si ripete: il modulo era abilitato, nessuno lo usava più, nessuno lo aveva disabilitato. La differenza qui è la gravità — RCE pre-autenticazione — e la diffusione di NGINX, che alimenta circa il 30% dei server web pubblici secondo le stime del settore.

Il modulo HTTP DAV non è il cuore di NGINX, ma le sue configurazioni legacy sono ovunque. Per gli hosting provider, i CDN e le infrastrutture cloud che offrono servizi di file management ai clienti, questa advisory è un campanello d'allarme specifico. Il resto del settore, invece, dovrebbe usarla come occasione per ripulire configurazioni obsolete prima che diventino vettori.

La natura pre-autenticazione della falla elimina ogni barriera di accesso tradizionale. Non serve rubare credenziali, non serve aggirare controlli multi-fattore: basta una richiesta HTTP malformata al modulo DAV. Questa semplicità d'accesso, combinata con l'ampia installazione base di NGINX, rende ZDI-26-578 una delle advisory più rilevanti del ciclo di disclosure 2026.

Per i team di sicurezza, il messaggio è duplice: verificare immediatamente la presenza del modulo DAV nelle proprie configurazioni, e ridefinire i processi di inventario dei moduli opzionali. La visibilità su cosa è attivo, non solo su cosa è necessario, resta il primo controllo difensivo contro questo genere di minacce.

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-578/
• https://www.cve.org/CVERecord?id=CVE-2026-27654
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html