Trois failles critiques du serveur web NGINX pourraient permettre d'y exécuter du code

Le 14 octobre, F5, l'éditeur du serveur web NGINX, a publié en dehors de son calendrier habituel des correctifs pour onze failles. Le CERT-FR, le centre gouvernemental de veille et d'alerte, les a relayés le 19 octobre. F5 classe trois d'entre elles comme critiques : CVE-2026-15176, CVE-2026-93479 et CVE-2026-97205.

Un attaquant peut les déclencher à distance, sans s'authentifier, avec des requêtes HTTP fabriquées pour l'occasion. Elles provoquent un débordement de mémoire ou la réutilisation d'une zone de mémoire déjà libérée dans le processus de travail (« worker ») de NGINX, qui plante ou redémarre. Si l'ASLR, la protection qui place la mémoire à des adresses aléatoires, est désactivée ou contournée, elles pourraient aussi permettre d'exécuter du code. F5 ne signale aucune exploitation à ce stade.

Toutes les configurations ne sont pas exposées

Les trois failles critiques ne concernent que des configurations qui ne sont pas celles par défaut, souligne BleepingComputer. Selon les avis du projet NGINX :

• CVE-2026-15176 touche l'usage de la directive alias combinée à une réécriture d'adresse, de la version 0.1.29 à la 1.31.6 ;
• CVE-2026-93479, un débordement lors de l'évaluation de scripts, concerne les versions 1.30.0 à 1.30.5 et 1.31.2 à 1.31.6 ;
• CVE-2026-97205 vise les entrées-sorties asynchrones (AIO), de la 0.8.11 à la 1.31.6.

Sur sa propre page d'avis, le projet NGINX classe ces failles en gravité « moyenne ». L'écart tient à la méthode de notation : chacune obtient 8,1 (élevé) selon la version 3.1 du barème CVSS, mais 9,2 (critique) selon la version 4.0. Les huit autres failles pourraient notamment permettre de contourner des vérifications, de lire des informations sensibles, d'injecter des données dans les requêtes relayées ou d'accéder à des chemins protégés avant authentification, selon SecurityWeek. Parmi elles figurent une injection dans le corps des requêtes HTTP/3 et une falsification de session liée aux tickets TLS.

Quelles versions installer ?

Le serveur web n'est pas seul concerné : la liste couvre aussi les produits construits autour de lui, y compris le contrôleur d'entrée pour Kubernetes. Les versions corrigées relevées par le CERT-FR :

• NGINX Open Source : 1.30.6 (branche stable) ou 1.31.7 (branche principale) ;
• NGINX Plus : 37.0.5.1 ou 37.1.0.1 ;
• NGINX Ingress Controller : 5.7.0 ; NGINX Gateway Fabric : 2.8.0 ; NGINX Instance Manager : 2.24.0 ;
• F5 WAF for NGINX : 5.14.2 ou 5.16.0 ; F5 DoS for NGINX : 4.11.0 ; NGINX JavaScript : 1.0.2.

Si vous utilisez le paquet NGINX de votre distribution Linux, consultez son bulletin : le correctif peut y être intégré sous un autre numéro de version.

En attendant la mise à jour

F5 propose des contournements pour chaque faille critique :

• CVE-2026-15176 : éviter la directive alias dans un bloc location et la variable $request_filename ;
• CVE-2026-97205 : désactiver les entrées-sorties asynchrones (AIO) ou les inclusions côté serveur (SSI) ;
• CVE-2026-93479 : utiliser des captures nommées dans les expressions régulières, et seulement dans le bloc qui contient l'expression.

F5 est une cible connue. Selon BleepingComputer, la CISA, l'agence américaine de cybersécurité, a recensé huit failles F5 exploitées depuis novembre 2021, dont quatre par des rançongiciels. En octobre 2025, F5 avait aussi révélé que des pirates soutenus par un État lui avaient volé du code source. À surveiller désormais : la publication d'un code d'exploitation, qui rendrait ces failles bien plus faciles à utiliser.