Uma falha no NGINX pode causar reinício do processo worker e, em condições específicas, abrir caminho para execução de código. A vulnerabilidade é identificada como CVE-2026-15176 e afeta configurações que combinam as diretivas alias e rewrite com referências à variável $request_filename.
O advisory da F5 classifica o problema com CVSS 3.1 de 8,1, nível alto, e CVSS 4.0 de 9,2, nível crítico. A exploração exige uma configuração específica e condições adicionais, portanto não significa que todas as instalações NGINX estejam expostas. Mesmo assim, servidores públicos devem ser avaliados e atualizados.
O que é a CVE-2026-15176
A falha está no componente ngx_http_core_module. Ela pode ocorrer quando uma localização usa alias junto com rewrite e uma diretiva set ou return que referencia $request_filename. O advisory também cita o uso dessa variável dentro de um formato de log de acesso, configurado com log_format.
Com uma requisição HTTP especialmente construída, um atacante não autenticado pode provocar um estouro de buffer no heap do processo worker. O resultado pode ser a interrupção e o reinício do worker, produzindo negação de serviço. A F5 informa que a execução de código também pode ser possível quando o ASLR está desabilitado ou quando o atacante consegue contornar essa proteção.
O impacto informado é limitado ao data plane. Não há exposição direta do control plane no cenário descrito. Isso não elimina o risco: um reinício frequente pode interromper aplicações web, e a possibilidade de execução de código torna a correção prioritária em servidores que processam tráfego de redes não confiáveis.
Versões afetadas e corrigidas
| Produto | Versões afetadas | Versões corrigidas |
|---|---|---|
| NGINX Open Source | 1.31.0 a 1.31.6; 1.0.0 a 1.30.5 | 1.31.7 e 1.30.6 |
| NGINX Plus | 37.0.0 a 37.0.4 | 37.0.5.1 e 37.1.0.1 |
| NGINX Instance Manager | 2.18.0 a 2.23.0 | 2.24.0 |
| F5 WAF for NGINX | 5.9.0 a 5.15.0 | 5.16.0 e 5.14.2 |
| F5 DoS for NGINX | 4.8.0 a 4.10.0 | 4.11.0 |
| NGINX Gateway Fabric | 2.1.0 a 2.7.2 | 2.8.0 |
| NGINX Ingress Controller | 5.6.0 a 5.6.3 | 5.7.0 |
A página oficial do NGINX resume as versões Open Source não vulneráveis como 1.31.7 ou superior e 1.30.6 ou superior. O advisory da F5 deve ser consultado para produtos comerciais e para detalhes de suporte. Versões fora do suporte técnico podem não ter sido avaliadas.
Como avaliar a exposição
O primeiro passo é identificar a versão em execução e os módulos carregados. Em seguida, revise todos os blocos server e location, incluindo arquivos incluídos por include, templates de automação e configurações geradas por plataformas de hospedagem.
Procure a combinação de alias e rewrite. Verifique também se $request_filename aparece em diretivas set, return ou log_format. A presença isolada de uma dessas diretivas não prova vulnerabilidade; o risco depende do fluxo de configuração descrito no advisory.
Não publique o conteúdo de arquivos de configuração em fóruns ou relatórios externos. Esses arquivos podem conter nomes internos, caminhos sensíveis, endpoints administrativos e credenciais acidentalmente incluídas.
Recomendações imediatas
Atualize o NGINX. Instale a versão corrigida correspondente ao produto. Em distribuições Linux, confirme se o pacote do fornecedor já inclui o backport da correção, porque o número da distribuição pode não coincidir com a versão upstream.
Audite as configurações. Revise arquivos principais, diretórios de sites habilitados, snippets e templates de containers. Priorize servidores que aceitam tráfego direto da internet e que usam as diretivas citadas pela F5.
Reduza a exposição enquanto aplica o patch. Restrinja endpoints desnecessários por firewall, balanceador ou camada de proxy. Se uma localização vulnerável não for necessária, desative-a temporariamente após testar o impacto operacional.
Monitore reinícios. Procure reinícios inesperados dos workers, erros de processo, picos de requisições malformadas e alterações não autorizadas nos arquivos de configuração. Um reinício isolado não comprova exploração, mas vários eventos associados a requisições anômalas justificam investigação.
Preserve logs e evite mitigação improvisada. Faça uma cópia segura das configurações e logs antes de alterações importantes. Não remova diretivas de forma indiscriminada em produção sem validar rotas, uploads, arquivos estáticos e regras de proxy.
O que a vulnerabilidade não significa
A CVE-2026-15176 não indica que qualquer servidor NGINX possa ser comprometido apenas por estar instalado. O cenário depende de uma combinação de configuração e de condições que o atacante não controla completamente. Também não há confirmação, nas fontes consultadas, de exploração ativa ou de inclusão no catálogo KEV da CISA.
Essa qualificação não deve ser usada para adiar a correção. Servidores com configuração compatível e exposição externa podem sofrer negação de serviço, e a possibilidade de execução de código em ambientes com ASLR desabilitado ou contornado aumenta o impacto potencial.
Conclusão
A CVE-2026-15176 afeta o processamento de determinadas configurações do NGINX e pode provocar estouro de buffer no heap do worker. O efeito mais direto é a negação de serviço, mas o advisory também reconhece a possibilidade de execução de código em condições específicas.
Atualize o NGINX para 1.31.7 ou 1.30.6, ou para a versão comercial corrigida correspondente. Faça uma auditoria direcionada às diretivas alias, rewrite e $request_filename, restrinja a exposição desnecessária e monitore reinícios anômalos.
Fontes primárias
F5 Security Advisory: K000162416 — NGINX ngx_http_core_module vulnerability.
NGINX Security Advisories: Lista oficial de vulnerabilidades e versões corrigidas.
CVE.org: CVE-2026-15176.
