أصدرت شركة F5 في 14 أكتوبر 2026 ثلاث نشرات أمنية لثغرات في خادم الويب NGINX بنسختيه المفتوحة المصدر (NGINX Open Source) والتجارية (NGINX Plus)، تتيح لمهاجم عن بعد تعطيل الخدمة دون مصادقة وفق متجه CVSS. وتمنح F5 كل ثغرة درجة 8.1 وفق تقييم CVSS 3.1، و9.2 وفق تقييم CVSS 4.0 لتصنف جميعها عند درجة خطورة عالية.
وتتمثل الثغرة الأولى (CVE-2026-97205 بتقييم CVSS عند 8.1) في استخدام للذاكرة بعد تحريرها ضمن وحدة ngx_http_core_module. وتظهر هذه الثغرة عند تفعيل الإدخال والإخراج غير المتزامن لمعالجة خادم NGINX لصفحة SSI تحتوي على أمر include virtual، ما قد يؤدي إلى تلف الذاكرة أو توقف عملية العمل> وقد نُسب الإبلاغ عنها إلى الباحث Cyberlanc3r.
أما الثغرة الثانية (CVE-2026-93479 بتقييم CVSS عند 8.1)، فهي تجاوز لسعة المخزن المؤقت في الكومة مرتبط بالتعليمة map ومطابقة التعابير النمطية (regex). وتحدث حين يشير مسار الجذر أو تنسيق سجل الوصول إلى متغيرات الالتقاط قبل متغير ناتج التعليمة map، أو عند استخدام متغير غير قابل للتخزين المؤقت في تعبير نصي بشروط معينة، ما يدفع عملية العمل للكتابة خارج الذاكرة المخصصة لها وإعادة التشغيل. ونُسب اكتشافها إلى الباحثين Matt Suiche من Tolmo وMateusz Gierblinski.
وتأتي الثغرة الثالثة (CVE-2026-15176 بتقييم CVSS عند 8.1) كتجاوز آخر لسعة المخزن المؤقت في وحدة ngx_http_core_module، وتظهر في موقع يجمع التعليمة alias مع rewrite وتعليمة set أو return التي تشير إلى المتغير request_filename$، أو حين يرد هذا المتغير في تنسيق سجل الوصول، وقد اكتشفتها F5 داخلياً.
وتصف F5 تعقيد الهجوم بالمرتفع في الثغرات الثلاث، مشيرة إلى أن استغلال الثغرتين الثانية والثالثة يتطلب ظروفاً وإعدادات خارجة عن سيطرة المهاجم. ويقع الخلل في مسار البيانات وليس في لوحة التحكم، مع احتمال وصول التأثير إلى تنفيذ أوامر عن بعد في حال كان نظام ASLR معطلاً أو أمكن تجاوزه.
وفي إصدارات NGINX مفتوحة المصدر، تشمل الثغرات الثلاث الفرع 1.31 حتى 1.31.6 والفرع 1.30 حتى 1.30.5، بينما يبدأ تأثر الإصدارات بالثغرة الثانية من 1.31.2. وتمتد الإصدارات المتأثرة بالثغرتين الأولى والثالثة إلى نسخ أقدم بكثير تبدأ من 0.8.11 و0.1.29 على التوالي، وفقاً لسجلات موقع NGINX. وفي إصدارات NGINX Plus، تشمل الثغرات الفرع 37 قبل التحديثين 37.0.5.1 و37.1.0.1، إضافة إلى الإصدارات من R33 إلى R36.
وتوفرت الإصلاحات في نسختي NGINX المفتوحة المصدر 1.31.7 و1.30.6، والإصدارين 37.0.5.1 و37.1.0.1 من NGINX Plus. وتعالج هذه التحديثات أيضاً ثغرتين إضافيتين هما (CVE-2026-95101) المتعلقة بحقن في جسم الطلب عبر بروتوكول HTTP/3، و(CVE-2026-97629) المرتبطة بتزوير الجلسات عند استخدام تذاكر TLS، علماً أن موقع NGINX يصنف الثغرات الخمس جميعها بدرجة خطورة متوسطة خلافاً لتقييم F5.
ولمن لا يستطيع التحديث فوراً، تقترح F5 حلولاً مؤقتة تشمل تعطيل التوجيه aio أو عدم تقديم صفحات SSI لتلافي الثغرة الأولى، واستخدام الالتقاطات المسماة بدلاً من غير المسماة وحصرها في كتلة المطابقة للثغرة الثانية، وتجنب التعليمة alias في الموقع وتجنب المتغير request_filename$ للثغرة الثالثة.
وسجلت وكالة CISA في بيانات الإثراء المرتبطة بالسجلات الثلاثة، بتاريخ 14 أكتوبر، عدم وجود أي استغلال نشط معروف للثغرات، مشيرة إلى أن استغلالها لا يمكن أتمتته.
وليست هذه أول نشرة أمنية في nginx هذا العام، فصفحة nginx.org تعدد 26 ثغرة تحمل معرفات 2026. وسبق أن تناولنا في يوليو ثغرة في NGINX تسمح بتعطيل الخوادم.
