CVE-2026-42945 : vulnérabilité du module rewrite de NGINX

Shared FAQ page chrome (breadcrumb, dates, read time, «Continuer la lecture», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Une vulnérabilité identifiée sous CVE-2026-42945 a été signalée dans le module ngx_http_rewrite_module de NGINX.

Le problème concerne les configurations NGINX qui utilisent des directives rewrite avec des captures PCRE anonymes telles que $1 ou $2, lorsque la chaîne de remplacement contient un point d'interrogation ?. Dans certaines conditions, un attaquant non authentifié peut envoyer des requêtes HTTP forgées qui font planter un processus worker de NGINX. Sur les systèmes où l'Address Space Layout Randomization (ASLR) est désactivée, une exécution de code peut aussi être possible.

Selon l'avis officiel de NGINX, les versions NGINX Open Source 0.6.27 à 1.30.0 sont concernées. Les versions 1.30.1 et ultérieures et 1.31.0 et ultérieures sont indiquées comme non vulnérables.

Produit	Branche	Version vulnérable	Version corrigée	Sévérité	Composant vulnérable
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Action recommandée

EuroVPS recommande vivement à tous les clients qui exécutent NGINX de vérifier la version installée et de passer en revue leurs règles rewrite.

Vérifier la version de NGINX installée :

nginx -v

Rechercher des règles rewrite utilisant des captures anonymes :

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Mettre à jour vers une version corrigée de NGINX

Mettez NGINX à jour à partir des paquets de l'éditeur de votre système d'exploitation, de l'éditeur de votre panneau de contrôle ou de F5. Les versions corrigées figurent dans le tableau ci-dessus.

Mesure de contournement temporaire

Si une mise à jour immédiate n'est pas possible, passez en revue les directives rewrite concernées et remplacez les captures anonymes telles que $1 et $2 par des captures nommées là où c'est applicable.

Exemple de règle rewrite avec une capture anonyme :

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Exemple avec une capture nommée :

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Après toute modification de configuration, validez et rechargez toujours NGINX :

nginx -t
systemctl reload nginx

Serveurs Plesk

Plesk a confirmé que Plesk for Linux livre NGINX dans son installation de base et peut être touché par la CVE-2026-42945, selon la version de NGINX installée et la configuration des règles rewrite. Le problème s'applique lorsque les règles rewrite référencent des captures regex anonymes telles que $1, $2 et des motifs similaires.

Plesk indique que les versions de NGINX inférieures à 1.31.1 mainline ou 1.30.1 stable sont vulnérables si des règles rewrite concernées sont présentes. Plesk précise aussi qu'un paquet NGINX mis à jour est attendu via le canal officiel de mises à jour Plesk.

Pour les serveurs gérés par Plesk, les clients doivent appliquer la mise à jour officielle de Plesk dès qu'elle est disponible. EuroVPS ne recommande pas de remplacer le paquet NGINX fourni par Plesk par des builds tiers non pris en charge, car cela peut affecter l'intégration avec Plesk et les mises à jour futures.

Produit	Branche	Version vulnérable	Version corrigée	Sévérité	Composant vulnérable
Plesk for Linux NGINX	NGINX fourni par Plesk	Inférieure à 1.31.1 mainline ou à 1.30.1 stable, si des règles rewrite concernées sont présentes	Paquet officiel de mise à jour NGINX de Plesk	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Recommandation d'EuroVPS

Confirmez aussi que l'ASLR est activée : sysctl kernel.randomize_va_space doit renvoyer 2.

Besoin d'aide ?

Si votre serveur est infogéré par EuroVPS, ouvrez un ticket de support et nous vérifierons et corrigerons NGINX pour vous.

Références

Avis Plesk : CVE-2026-42945 dans NGINX

Avis de sécurité F5 / NGINX pour la CVE-2026-42945

Fiche NVD CVE-2026-42945