أصدرت F5 تحديثات أمنية لمعالجة ثغرتين أمنيتين خطيرتين في NGINX Open Source والتي يمكن استغلالها لتنفيذ التعليمات البرمجية على الأنظمة المتأثرة.
نقاط الضعف مذكورة أدناه –
- CVE-2026-42530 (درجة CVSS v4: 9.2) – ثغرة أمنية يمكن استخدامها بعد الاستخدام في ngx_http_v3_module والتي يمكن تشغيلها بواسطة مهاجم غير مصادق عليه عن بعد عندما يتم تكوين NGINX Open Source لاستخدام وحدة HTTP/3 QUIC لإعادة فتح دفق تشفير QPACK عن طريق جلسة HTTP/3 المصممة خصيصًا، وتنفيذ التعليمات البرمجية على الأنظمة التي تم تعطيل التوزيع العشوائي لتخطيط مساحة العنوان (ASLR) أو عندما يتمكن المهاجم من ذلك تجاوز ASLR.
- CVE-2026-42055 (درجة CVSS v4: 9.2) – ثغرة أمنية لتجاوز سعة المخزن المؤقت المستندة إلى الكومة في وحدتي ngx_http_proxy_v2_module وngx_http_grpc_module والتي يمكن تشغيلها من قبل مهاجم غير مصادق عليه عن بعد عند استخدام توجيهات proxy_http_version to 2 أو grpc_pass لتوكيل حركة مرور HTTP/2، ويتم تعيين التوجيهigne_invalid_headers على إيقاف التشغيل، ويتم تعيين حجم التوجيه Large_client_header_buffers أكبر من 2 ميجابايت، ويتم تنفيذ التعليمات البرمجية على الأنظمة التي تم تعطيل التوزيع العشوائي لتخطيط مساحة العنوان (ASLR) أو عندما يتمكن المهاجم من تجاوز ASLR.
تم تصحيح كلا العيبين في الإصدارات التالية –
-
CVE-2026-42530 –
- NGINX مفتوح المصدر 1.31.0 – 1.31.1 (تم الإصلاح في 1.31.2)
- NGINX Gateway Fabric 2.0.0 – 2.6.3 (تم الإصلاح في 2.6.4)
- نسيج بوابة NGINX 1.3.0 – 1.6.2
- مدير مثيلات NGINX 2.17.0 – 2.22.0
- وحدة تحكم الدخول NGINX 5.0.0 – 5.5.0
- وحدة تحكم الدخول NGINX 4.0.0 – 4.0.1
- وحدة تحكم الدخول NGINX 3.5.0 – 3.7.2
-
CVE-2026-42055 –
- NGINX Plus 37.0.0 – 37.0.1 (تم الإصلاح في 37.0.2.1)
- NGINX Plus R33 – R36 (ثابت في R36 P6)
- NGINX مفتوح المصدر 1.31.1 (تم إصلاحه في 1.31.2)
- NGINX مفتوح المصدر 1.30.0 – 1.30.2 (تم الإصلاح في 1.30.3)
- مدير مثيلات NGINX 2.17.0 – 2.22.0
- F5 WAF لـ NGINX 5.9.0 – 5.13.1
- تطبيق NGINX لحماية WAF 5.2.0 – 5.8.0
- تطبيق NGINX يحمي WAF 4.10.0 – 4.16.0
- F5 DoS لـ NGINX 4.9.0
- تطبيق NGINX يحمي DoS 4.3.0 – 4.7.0
- NGINX Gateway Fabric 2.0.0 – 2.6.3 (تم الإصلاح في 2.6.4)
- نسيج بوابة NGINX 1.3.0 – 1.6.2
- وحدة تحكم الدخول NGINX 5.0.0 – 5.5.0
- وحدة تحكم الدخول NGINX 4.0.0 – 4.0.1
- وحدة تحكم الدخول NGINX 3.5.0 – 3.7.2
ولتخفيف المخاطر، حددت F5 الإجراءات التالية –
- CVE-2026-42530 – تعطيل HTTP/3
- CVE-2026-42055 – إزالة توجيهات التجاهل_invalid_headers من التكوين، أو تقليل حجم التوجيه Large_client_header_buffers إلى أقل من 2 ميجابايت
على الرغم من أن F5 لم تذكر الثغرات الأمنية التي يتم استغلالها بشكل مباشر، فقد تم استغلال العيوب الأمنية في منتجات F5 بشكل متكرر من قبل جهات فاعلة سيئة.
في الآونة الأخيرة، في الشهر الماضي، تعرض عيب أمني خطير آخر في NGINX Plus وNGINX Open Source (CVE-2026-42945، درجة CVSS: 9.2)، والذي يسمى أيضًا NGINX Rift، للاستغلال النشط في غضون أيام بعد الكشف العام.
تحديث
وصف Trung Nguyen من CyStack، والذي يُنسب إليه الفضل باعتباره أحد الباحثين الذين اكتشفوا العيوب والإبلاغ عنها، CVE-2026-42530 بأنه ناتج عن “عدم تطابق مدى الحياة”، والذي يمكن أن يؤدي بعد ذلك إلى تشغيل البدائي بعد الاستخدام المجاني.
وقال نجوين: “المؤشر الذي ينتمي إلى جلسة HTTP/3، والذي يعيش طوال مدة الاتصال، ينتهي به الأمر إلى الاحتفاظ بذاكرة تنتمي إلى دفق أحادي الاتجاه يعيش للحظة واحدة فقط”. “عندما يتم إغلاق هذا الدفق، يتم تحرير الذاكرة، ولكن مؤشر مستوى الجلسة لا يزال موجودًا ولا يزال يتم التعامل معه على أنه صالح.”
من ناحية أخرى، يعد CVE-2026-42055 عبارة عن تجاوز سعة الكومة مما يؤدي إلى كتابة بيانات HPACK التي يتحكم فيها المهاجم إلى مناطق ذاكرة غير مصرح بها دون الحاجة إلى أي مصادقة. يمكن استغلال الطلبات كبيرة الحجم للتسبب في حدوث أعطال متكررة للعمليات المنفذة، مما يؤدي إلى رفض الخدمة بشكل مستمر (DoS).
“يحتفظ منشئ الطلب بـ 4 بايتات ثابتة لبادئة طول سلسلة HPACK، لكن مشفر HPACK المتغير يصدر 5 بايت عندما تتجاوز قيمة الطول 2097278″، أوضح نجوين. “وبالتالي فإن كل حقل كبير الحجم يجعل عملية الكتابة تتجاوز المنطقة المخصصة، حاملة معها بيانات HPACK التي يتحكم فيها المهاجم.”
(تم تحديث القصة بعد نشرها في 22 يونيو 2026، لتشمل تفاصيل إضافية نشرتها CyStack.)
