La vulnerabilità CVE-2026-42945 in NGINX ha smesso di essere teorica. È stato rilevato un exploit attivo in ambienti reali che provoca il collasso dei processi worker, causando denial of service. Il rischio potenziale di esecuzione remota di codice (RCE) rende questa falla una minaccia seria per gli amministratori di server web.
Dettagli tecnici del fallo in NGINX 🛡️
La vulnerabilità risiede nella gestione di richieste HTTP malformate. L'exploit forza una condizione di gara nella memoria condivisa dei worker, causando un segmentation fault. Sebbene l'attacco principale sia DoS, le ricerche indicano che la corruzione della memoria potrebbe consentire RCE. Le versioni interessate includono NGINX 1.24.x e 1.25.x senza le recenti patch di sicurezza. Si consiglia di aggiornare alla versione 1.26.1 o applicare la patch di mitigazione.
Il worker che si prende una pausa non programmata 😅
Sembra che alcuni worker di NGINX abbiano deciso di scioperare senza preavviso. Invece di servire pagine, preferiscono collassare elegantemente di fronte a una richiesta malevola. È come se il cameriere, vedendo un cliente sospetto, lasciasse cadere il vassoio e se ne andasse a casa. Meno male che è solo un guasto tecnico e non una scusa per non lavorare il lunedì.