F5 выпустила внеплановые обновления для трёх критических уязвимостей NGINX, которые при определённых конфигурациях позволяют удалённому неаутентифицированному атакующему вызвать отказ в обслуживании или добиться выполнения кода. Для команд, использующих NGINX на публичном периметре, это повод не откладывать инвентаризацию: уязвимости NGINX затрагивают не только коммерческий NGINX Plus, но и open-source-сборки и связанные продукты экосистемы.
Речь идёт о CVE-2026-15176, CVE-2026-97205 и CVE-2026-93479. Как сообщает BleepingComputer, первые две проблемы находятся в модуле HTTP/3 ngx_http_v3_module, третья связана с директивой map. Ошибки могут привести к переполнению буфера в куче либо к обращению к уже освобождённой памяти в рабочем процессе NGINX. На практике это означает падение процесса или его перезапуск; при отключённой ASLR либо возможности обойти эту защиту сценарий может развиться до исполнения произвольного кода.
Патчи выпущены для NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric и NGINX Instance Manager. Набор важен сам по себе: NGINX нередко оказывается не отдельным веб-сервером, а входной точкой для API, Kubernetes-кластера, внутренней панели или десятков приложений за одним балансировщиком. Поэтому оценивать риск стоит не по названию пакета в CMDB, а по фактической конфигурации, доступности сервиса из сети и роли узла в инфраструктуре.
Эксплуатация критических ошибок, по данным F5, зависит от нештатных настроек. Но «не по умолчанию» — не синоним «не у нас»: за годы эксплуатации в конфигурациях успевают появиться старые правила маршрутизации, экспериментальные HTTP/3-профили и директивы, добавленные для конкретного приложения. CVE-2026-15176 связана с использованием alias в блоке location или переменной $request_filename. CVE-2026-97205 становится релевантной при включённом асинхронном файловом вводе-выводе AIO либо Server Side Includes. CVE-2026-93479 касается регулярных выражений в map и неименованных захватов.
Если штатное обновление требует окна, F5 предлагает временные обходные меры. Для CVE-2026-15176 — отказаться от alias в location и от $request_filename; для CVE-2026-97205 — выключить AIO или SSI. Риск CVE-2026-93479 можно снизить, заменив неименованные захваты именованными и ограничив их использование тем блоком, где произошло совпадение регулярного выражения. Это именно компенсационные меры, а не полноценная замена обновлению: изменение конфигурации способно повлиять на раздачу статики, обработку шаблонов и маршрутизацию запросов.
Практичный порядок действий для администраторов и DevOps-команд выглядит так: сначала определить версии и продукты F5/NGINX, затем проверить включение HTTP/3, AIO, SSI, alias, $request_filename и регулярных выражений в map. После этого — установить исправления в тестовом контуре, проконтролировать старт воркеров и критичные маршруты, а затем раскатить их на внешние инстансы. Отдельно полезно проверить мониторинг: перезапуски воркеров, всплески 4xx/5xx и необычный рост соединений могут не доказать атаку, но помогут не пропустить попытки воспользоваться проблемой.
Пока F5 не сообщала об эксплуатации этих уязвимостей в реальных атаках. Однако её продукты давно находятся в поле зрения как киберпреступных групп, так и государственных операторов: с ноября 2021 года CISA включила в перечень активно эксплуатируемых восемь уязвимостей F5, причём четыре из них связывались и с атаками вымогателей. В октябре 2025 года компания также раскрыла компрометацию своих систем в августе того же года: атакующие, которых F5 отнесла к поддерживаемым государством, получили исходный код и сведения о нераскрытых уязвимостях BIG-IP.
Именно этот контекст делает новые уязвимости NGINX задачей для ближайшего релизного окна, а не пунктом в бэклоге на квартал. В инфраструктуре, где веб-сервер одновременно обслуживает клиентов и проксирует доступ к внутренним сервисам, цена одного аварийного перезапуска или успешного обхода защиты может оказаться заметно выше стоимости аккуратного патча. Главный вопрос теперь не в том, появится ли публичный код эксплуатации, а в том, успеют ли команды проверить свои нестандартные конфигурации раньше, чем это сделают атакующие.