Một lỗ hổng bảo mật nghiêm trọng trong máy chủ web NGINX vừa được công bố, cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực. Lỗi này, có mã CVE-2026-42945, tồn tại trong module ngx_http_rewrite_module từ năm 2008 và ảnh hưởng đến các máy chủ sử dụng các lệnh rewrite và set. Điều đáng chú ý là lỗ hổng được phát hiện hoàn toàn tự động bởi hệ thống phân tích bảo mật của DepthFirst, chỉ sau một cú click duy nhất khi đưa mã nguồn NGINX vào hệ thống.

Cơ chế khai thác tinh vi

Lỗ hổng nằm ở cơ chế xử lý script hai bước của NGINX: đầu tiên tính kích thước bộ đệm, sau đó sao chép dữ liệu. Khi rewrite chứa dấu ?, cờ is_args được bật trong bước sao chép nhưng không được tính trong bước tính kích thước ban đầu. Điều này khiến bộ nhớ heap bị tràn với dữ liệu URI do kẻ tấn công kiểm soát, dẫn đến khả năng chiếm quyền điều khiển máy chủ. DepthFirst cũng tiết lộ thêm ba lỗ hổng bộ nhớ khác (CVE-2026-42946, CVE-2026-40701, CVE-2026-42934) được phát hiện cùng lúc.

Có gì dành cho quản trị viên?

Bản vá chính thức đã được F5 phát hành. Các quản trị viên nên cập nhật NGINX ngay lập tức. DepthFirst cũng cung cấp bản proof-of-concept (PoC) trên GitHub cho phép kiểm tra lỗ hổng trong môi trường thử nghiệm. Sự kiện này một lần nữa nhấn mạnh tầm quan trọng của việc tự động hóa phát hiện lỗ hổng bảo mật trong mã nguồn mở, đặc biệt khi hệ thống công nghệ ngày càng phức tạp.