F5 a déployé, en dehors de son calendrier habituel, des mises à jour de sécurité pour plusieurs vulnérabilités de NGINX, dont deux failles critiques. Celles-ci permettent à des attaquants d’exécuter du code sur des systèmes vulnérables présentant des configurations non standard.
Les vulnérabilités se situent dans les modules ngx_http_v3_module (CVE-2026-42530) et ngx_http_proxy_v2_module/ngx_http_grpc_module (CVE-2026-42055). Il s’agit de deux failles critiques pouvant avoir de graves conséquences. Des attaquants non authentifiés peuvent les exploiter pour une attaque par déni de service ou une exécution de code sur les systèmes où l’Address Space Layout Randomization (ASLR) est désactivée.
F5 a publié des correctifs pour NGINX Plus, NGINX Open Source, NGINX Gateway Fabric et NGINX Instance Manager. Les administrateurs ne pouvant pas installer les mises à jour immédiatement peuvent atténuer la CVE-2026-42530 en désactivant le HTTP/3, et la CVE-2026-42055 en supprimant la directive « ignore_invalid_headers off » et en réduisant la taille de « large_client_header_buffers » en dessous de 2 Mo.
Deux failles à haut risque dans NGINX Gateway Fabric
En outre, deux vulnérabilités à haut risque ont été identifiées dans NGINX Gateway Fabric (CVE-2026-11311 et CVE-2026-50107). Elles peuvent être utilisées par des attaquants authentifiés pour insérer des règles de configuration NGINX arbitraires.
F5 signale qu’aucune de ces failles n’est actuellement exploitée de manière active. Par le passé, des vulnérabilités dans les produits F5 ont toutefois été exploitées pour des intrusions, l’installation de malwares d’effacement de données, la cartographie de serveurs internes et le vol de documents sensibles.
Contexte historique et risques
En octobre 2025, F5 a révélé que des acteurs étatiques avaient compromis ses systèmes en août 2025 et dérobé des vulnérabilités BIG-IP inconnues ainsi que du code source. Ces dernières années, la CISA américaine a classé sept vulnérabilités F5 comme étant activement exploitées, dont quatre lors d’attaques par ransomware.