Uma vulnerabilidade crítica no NGINX, um dos servidores web e proxies reversos mais utilizados do mundo, pode permitir que invasores provoquem negação de serviço (DoS) e, em cenários específicos, executem código remotamente (RCE). A falha, identificada como CVE-2026-42533, foi corrigida em atualizações divulgadas pela equipe do NGINX e pela F5, responsável pela versão comercial NGINX Plus.
O problema está no mecanismo de scripts do NGINX, responsável por processar determinadas diretivas de configuração. Um invasor pode enviar requisições HTTP especialmente criadas para provocar um estouro de buffer (heap buffer overflow) no processo de trabalho (worker), causando falhas, reinicializações e indisponibilidade do serviço. Em sistemas onde mecanismos de proteção de memória, como o ASLR (Address Space Layout Randomization), estejam desabilitados ou possam ser contornados, existe ainda a possibilidade de execução remota de código.
Segundo a F5, a vulnerabilidade recebe pontuação 9,2 no CVSS v4 e afeta versões do NGINX Open Source desde 2011, quando foi introduzido o suporte a expressões regulares no recurso map. No entanto, a exploração depende de uma configuração específica, envolvendo regras baseadas em expressões regulares e variáveis capturadas durante o processamento das requisições.
As correções estão disponíveis nas versões NGINX Open Source 1.30.4 e 1.31.3, além do NGINX Plus R37 P1. Administradores que utilizam versões anteriores devem atualizar seus ambientes o quanto antes e revisar as configurações que utilizam diretivas como map, rewrite, if e set, especialmente quando fazem uso de capturas de expressões regulares.
Especialistas em segurança alertam que, embora a vulnerabilidade exija uma configuração específica para ser explorada, o NGINX está presente em milhões de servidores web, APIs, balanceadores de carga e ambientes em nuvem. Isso faz com que qualquer falha crítica tenha potencial para afetar uma parcela significativa da infraestrutura da internet.
Além da atualização imediata, recomenda-se verificar se o ASLR permanece habilitado, restringir o acesso aos serviços expostos à internet e monitorar logs em busca de requisições incomuns que possam indicar tentativas de exploração. A adoção dessas medidas reduz significativamente o risco enquanto todas as instâncias vulneráveis são corrigidas.
