La falla in NGINX si allarga agli appliance che lo incorporano
FortiGuard ha legato CVE-2026-42533 a NGINX Open Source e NGINX Plus e ha rivisto una lunga lista di prodotti Fortinet che incorporano NGINX. Nella valutazione attuale, i prodotti Fortinet non risultano colpiti, ma il punto operativo resta un altro: l’esposizione dipende dalla versione di NGINX impiegata nel componente integrato, non solo dal marchio dell’appliance.
La falla è un heap-based buffer overflow nel trattamento dei map con regex capture. Un HTTP request costruito ad arte può mandare in crash il worker di NGINX e causare DoS; in certe condizioni, quando l’ASLR è assente o aggirabile, la stessa corruzione di memoria può arrivare a remote code execution. NGINX ha pubblicato le correzioni il 15 luglio 2026.
Per chi usa NGINX come front-end o reverse proxy, la storia non finisce con la patch del vendor dell’appliance. Restano da verificare le versioni effettivamente impacchettate nei prodotti e le configurazioni che usano capture regex nei map, perché è lì che si decide se l’asset è davvero esposto.