CVE-2026-42945: Schwachstelle im NGINX-Rewrite-Modul

Eine Schwachstelle mit der Kennung CVE-2026-42945 wurde im ngx_http_rewrite_module von NGINX gemeldet.

Das Problem betrifft bestimmte NGINX-Konfigurationen, die rewrite-Direktiven mit unbenannten PCRE-Captures wie $1 oder $2 verwenden, wobei die Ersetzungszeichenfolge ein Fragezeichen ? enthält. Unter bestimmten Bedingungen kann ein nicht authentifizierter Angreifer speziell präparierte HTTP-Anfragen senden, die einen NGINX-Worker-Prozess zum Absturz bringen. Auf Systemen, auf denen Address Space Layout Randomization (ASLR) deaktiviert ist, kann auch Codeausführung möglich sein.

Laut dem offiziellen NGINX-Advisory sind die Versionen NGINX Open Source 0.6.27 bis 1.30.0 betroffen. Die Versionen 1.30.1 und neuer sowie 1.31.0 und neuer werden als nicht verwundbar geführt.

Produkt	Zweig	Verwundbare Version	Korrigierte Version	Schweregrad	Verwundbare Komponente
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Empfohlene Maßnahme

EuroVPS empfiehlt allen Kunden, die NGINX betreiben, dringend, die installierte Version zu überprüfen und ihre Rewrite-Regeln durchzusehen.

Installierte NGINX-Version prüfen:

nginx -v

Nach Rewrite-Regeln mit unbenannten Captures suchen:

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Update auf eine korrigierte NGINX-Version

Aktualisieren Sie NGINX aus den Paketen Ihres Betriebssystemherstellers, Ihres Control-Panel-Herstellers oder von F5. Die korrigierten Versionen stehen in der Tabelle oben.

Vorübergehende Gegenmaßnahme

Ist ein sofortiges Update nicht möglich, prüfen Sie die betroffenen rewrite-Direktiven und ersetzen Sie unbenannte Captures wie $1 und $2, wo anwendbar, durch benannte Captures.

Beispiel einer Rewrite-Regel mit unbenanntem Capture:

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Beispiel mit benanntem Capture:

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Nach Konfigurationsänderungen NGINX immer validieren und neu laden:

nginx -t
systemctl reload nginx

Server mit Plesk

Plesk hat bestätigt, dass Plesk for Linux NGINX als Teil der Basisinstallation ausliefert und je nach installierter NGINX-Version und Konfiguration der Rewrite-Regeln von CVE-2026-42945 betroffen sein kann. Das Problem tritt auf, wenn Rewrite-Regeln auf unbenannte Regex-Captures wie $1, $2 und ähnliche Muster verweisen.

Plesk gibt an, dass NGINX-Versionen unter 1.31.1 mainline oder 1.30.1 stable verwundbar sind, wenn betroffene Rewrite-Regeln vorhanden sind. Plesk weist außerdem darauf hin, dass ein aktualisiertes NGINX-Paket über den offiziellen Plesk-Update-Kanal erwartet wird.

Für von Plesk verwaltete Server sollten Kunden das offizielle Plesk-Update einspielen, sobald es verfügbar ist. EuroVPS rät davon ab, das von Plesk bereitgestellte NGINX-Paket durch nicht unterstützte Builds Dritter zu ersetzen, da dies die Plesk-Integration und künftige Updates beeinträchtigen kann.

Produkt	Zweig	Verwundbare Version	Korrigierte Version	Schweregrad	Verwundbare Komponente
Plesk for Linux NGINX	Von Plesk bereitgestelltes NGINX	Unter 1.31.1 mainline oder unter 1.30.1 stable, wenn betroffene Rewrite-Regeln vorhanden sind	Offizielles NGINX-Update-Paket von Plesk	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Empfehlung von EuroVPS

Bestätigen Sie außerdem, dass ASLR aktiviert ist: sysctl kernel.randomize_va_space muss 2 zurückgeben.

Brauchen Sie Unterstützung?

Wenn Ihr Server von EuroVPS verwaltet wird, eröffnen Sie ein Support-Ticket, und wir prüfen und patchen NGINX für Sie.

Referenzen

Plesk-Advisory: CVE-2026-42945 in NGINX

F5 / NGINX Security Advisory zu CVE-2026-42945

NVD-Eintrag zu CVE-2026-42945