Коллеги, добрый день.
Прошу проверить наши инсталляции NGINX / NGINX Plus на наличие следующих уязвимостей, опубликованных NVD 13.05.2026. Все они относятся к NGINX и зависят от конкретной конфигурации модулей.
CVE-2026-42945 — критический риск, CVSS 9.2 / 8.1.
Уязвимость в ngx_http_rewrite_module. При определённых правилах rewrite, использовании unnamed PCRE capture ($1, $2) и символа ? в replacement string возможен heap buffer overflow в worker-процессе NGINX. Риск: перезапуск worker-процесса / DoS, а при отключённом ASLR потенциально возможно выполнение кода. (NVD)
CVE-2026-42946 — высокий риск, CVSS 8.3.
Уязвимость в ngx_http_scgi_module и ngx_http_uwsgi_module. Актуальна при использовании scgi_pass или uwsgi_pass; атакующему требуется возможность MITM-контроля ответов upstream-сервера. Риск: чтение памяти worker-процесса NGINX или его перезапуск. (NVD)
CVE-2026-42934 — средний риск, CVSS 6.3 / 4.8.
Уязвимость в ngx_http_charset_module. Актуальна при комбинации charset, source_charset, charset_map и proxy_pass с отключённой буферизацией (proxy_buffering off). Риск: ограниченное раскрытие памяти или перезапуск worker-процесса. (NVD)
CVE-2026-42926 — средний риск, CVSS 6.3 / 5.8.
Уязвимость в NGINX Open Source при проксировании HTTP/2-трафика через proxy_http_version 2 и использовании proxy_set_body. Риск: инъекция HTTP/2 frame headers и payload bytes в upstream-сервер, что может повлиять на целостность обработки запросов. (NVD)
CVE-2026-40701 — средний риск, CVSS 6.3.
Уязвимость в ngx_http_ssl_module. Актуальна при ssl_verify_client on/optional вместе с ssl_ocsp on или настройками leaf с resolver. Риск: heap-use-after-free, ограниченное изменение данных или перезапуск worker-процесса. (NVD)
CVE-2026-40460 — средний риск, CVSS 6.9 / 6.5.
Уязвимость в HTTP/3 QUIC module. При использовании HTTP/3/QUIC атакующий может подменять source IP. Риск: обход IP-based authorization или rate limiting. (NVD)
Прошу выполнить:
1. Проверить, где у нас используется NGINX / NGINX Plus и какие версии установлены.
2. Проверить наличие указанных конфигураций: rewrite, scgi_pass, uwsgi_pass, charset_map, proxy_buffering off, proxy_http_version 2, proxy_set_body, ssl_verify_client, ssl_ocsp, HTTP/3 / QUIC.
3. При подтверждении применимости — запланировать обновление NGINX до исправленной версии от вендора или отключить/изменить уязвимые конфигурации до установки патча.
4. Отдельно приоритизировать CVE-2026-42945 как критическую, особенно на публично доступных reverse proxy / ingress / edge-серверах.
Спасибо.
