CVE-2026-42533 : une faille critique dans NGINX
Le 15 juillet 2026, F5 a annoncé la correction d’une vulnérabilité majeure dans NGINX, référencée sous le code CVE-2026-42533. Cette faille, un dépassement de tampon, est présente dans NGINX depuis 2011 et permet à un attaquant distant non authentifié de provoquer le plantage des processus workers du serveur Web via des requêtes HTTP malveillantes. Dans des circonstances extrêmes, une exécution de code à distance pourrait également être envisagée.
Cette vulnérabilité, notée 9.2 sur l’échelle CVSS v4.0, est exploitable par des requêtes HTTP spécialement conçues. Elle réside dans le moteur de scripts de NGINX, qui assemble des chaînes de caractères à partir de directives lors du traitement des requêtes. La faille est directement liée à la directive « map ». Selon le bulletin de sécurité de F5, « une vulnérabilité existe dans NGINX Plus et NGINX Open Source lorsqu’une directive map utilise la correspondance par expression régulière et qu’une expression de chaîne fait référence aux variables de capture de l’expression régulière de la directive map avant de faire référence à la variable de sortie de celle-ci. »
Pour comprendre la nature du problème, NGINX me d’abord la taille nécessaire pour une chaîne de caractères et réserve un tampon à cette taille. Si une requête malveillante modifie la capture de référence, le tampon, initialement dimensionné pour une valeur, peut être rempli avec des données non sécurisées, entraînant un débordement et l’écriture de données arbitraires en mémoire.
F5 a associé cette vulnérabilité à un déni de service, car le débordement peut entraîner le plantage ou le redémarrage des workers, perturbant ainsi la disponibilité du service Web. En outre, il existe une possibilité d’exécution de code à distance, mais cela nécessite que la protection ASLR soit désactivée ou contournable.
Le chercheur Stan Shaw, ayant signalé la faille, a précisé que cette vulnérabilité pourrait également permettre de contourner l’ASLR, facilitant ainsi l’exécution de code à distance sur un serveur vulnérable. Selon son rapport, l’absence de sauvegarde de l’état de capture dans le moteur de script d’NGINX permettrait à un attaquant de contrôler le contenu et la longueur du débordement.
D’après le bulletin de sécurité publié par NGINX, toutes les versions de 0.9.6 à 1.31.2 sont vulnérables, ce qui représente un large éventail de versions depuis 2011, date à laquelle la directive « map » a été dotée de la prise en charge des expressions régulières.
Les correctifs de sécurité ont été intégrés dans les nouvelles versions, notamment NGINX 1.30.4, 1.31.3 et NGINX Plus 37.0.3.1. Selon F5, la vulnérabilité affecte également NGINX Ingress Controller, Gateway Fabric, App Protect WAF et Instance Manager, avec des correctifs déployés progressivement. En revanche, d’autres produits comme BIG-IP et F5 Distributed Cloud ne sont pas concernés.
Il est fortement conseillé d’installer les correctifs de sécurité pour se protéger. De plus, Stan Shaw a mis à disposition un scanner pour analyser les fichiers de configuration NGINX afin de vérifier la vulnérabilité du serveur.
Cette faille critique fait suite à la vulnérabilité NGINX Rift (CVE-2026-42945) découverte en mai 2026, rappelant que les serveurs Web demeurent des cibles privilégiées pour les cyberattaques.
Source : F5
