吳明宜F5 上週釋出非例行安全更新，修補 NGINX 網頁伺服器多項漏洞，其中包括 3 個可讓攻擊者執行程式碼的重大漏洞。
NGINX 是一款高效能的開原 (Open Source) 網頁伺服器，也可作為反向代理伺服器、負載平衡器、郵件代理伺服器與 HTTP 快取。 NGINX 最初由俄羅斯工程師 Igor Sysoev 於 2004 年建立，目前由 F5 維護並提供商業支援。
三個重大漏洞可導致 DoS 或程式碼執行
這三個重大漏洞位於 ngx_http_v3_module(CVE-2026-15176 、 CVE-2026-97205) 與 NGINX map directive(CVE-2026-93479)，CVSS 風險值皆為 8.1，屬重大漏洞。這些漏洞讓不具權限的遠端攻擊者，可以對啟用非預設設定的 NGINX 系統發動阻斷服務 (DoS) 攻擊，或執行程式碼。
攻擊者成功濫用漏洞後，可在 NGINX worker 行程引發堆積式 (heap-based) 緩衝區溢位或 use-after-free，導致系統崩潰或重新啟動。此外，攻擊者也可能在關閉 ASLR(Address Space Layout Randomization) 的系統上，或繞過 ASLR 防護後執行程式碼。
多項 NGINX 產品同步更新
F5 這次對多個受這些漏洞影響的 NGINX 軟體產品發布安全更新，包括 NGINX Plus 、 NGINX Open Source 、 NGINX Ingress Controller 、 NGINX Gateway Fabric 和 NGINX Instance Manager 。
若安全團隊和管理人員來不及安裝安全更新，可以在 location block 或 $request_filename 變數中停用 alias，以緩解 CVE-2026-15176；也可以停用非同步檔案 I/O(AIO) 或 Server Side Includes(SSI)，以緩解 CVE-2026-97205 。
CVE-2026-93479 則可透過限制使用命名擷取 (named captures) 來緩解。
F5 漏洞屢成攻擊目標
F5 目前並未發現這些漏洞遭到濫用，不過 F5 的漏洞近年成為網路歹徒和國家級駭客的攻擊目標。例如攻擊者鎖定 F5 的軟體漏洞，駭入企業網路、辨識內部伺服器、挾持裝置、部署刪除資料的惡意程式，並從全球受害者系統中竊取敏感文件。 2025 年 10 月，F5 發現國家支持的駭客組織於去年 8 月利用未知的 BIG-IP 安全漏洞駭入其伺服器，並竊走程式碼和其他資訊。
（綜合外電報導）