Il punto non è un remote shell garantito. Su NGINX, la falla critica diventa code execution solo se ASLR è disattivato; negli altri casi il colpo si ferma più spesso a un worker che si riavvia, memoria esposta o configurazioni alterate, con un impatto comunque sufficiente a far cadere il front door.
F5 ha rilasciato un bundle fuori ciclo per otto vulnerabilità tra NGINX e BIG-IP. La più grave è CVE-2026-42533 in NGINX Plus e NGINX Open Source; colpisce anche NGINX Ingress Controller e una falla su BIG-IP può portare a DoS quando è configurato HTTP/2 su un virtual server.
Per chi gestisce reverse proxy o virtual server esposti, la priorità è verificare lo stato delle patch su più piani di controllo, non inseguire una sola CVE. Un bug che sembra “solo crash” può comunque interrompere il traffico o aprire la strada a abuso di configurazione, e su host senza ASLR il salto a code execution resta concreto.