CVE-2026-9256

Podatność jest wyzwalana, gdy dyrektywa rewrite korzysta ze wzorca regex zawierającego nakładające się grupy przechwytujące PCRE (np. ^/((.*))$), a ciąg zastępowania odwołuje się do wielu takich grup jednocześnie (np. $1$2) w kontekście przekierowania lub argumentów. Nieuwierzytelniony atakujący, przy spełnieniu warunków niezależnych od niego (np. odpowiednia konfiguracja serwera), może wysłać spreparowane żądanie HTTP, które wywołuje heap buffer overflow w procesie roboczym NGINX. Skutkuje to restartem procesu roboczego, a przy braku lub ominięciu ASLR — możliwością zdalnego wykonania kodu (RCE).

Atakujący może doprowadzić do restartu procesu roboczego NGINX (efekt DoS), a w przypadku systemów z wyłączonym ASLR lub możliwością jego ominięcia — do zdalnego wykonania kodu (RCE) na podatnym serwerze.

Należy zastosować patche dostępne u producenta zgodnie z referencjami (https://my.f5.com/manage/s/article/K000161377). Dodatkowo, do czasu wdrożenia poprawki, należy upewnić się, że ASLR jest włączony na systemach hostujących NGINX, oraz dokonać przeglądu konfiguracji dyrektyw rewrite pod kątem stosowania nakładających się grup PCRE z wielokrotnymi odwołaniami w ciągach zastępowania.

F5 NGINX Plus oraz F5 NGINX Open Source — wersje wskazane w referencjach producenta (wersje objęte End of Technical Support nie są oceniane).

Podatność dotyczy wyłącznie konfiguracji NGINX zawierających dyrektywę rewrite z nakładającymi się grupami przechwytującymi PCRE oraz wielokrotnymi odwołaniami do nich w kontekście przekierowania lub argumentów — nie wszystkie instancje NGINX są podatne. Data publikacji: 2026-05-22.