CVE-2026-42945: vulnerabilità nel modulo rewrite di NGINX

Shared FAQ page chrome (breadcrumb, dates, read time, «Continua a leggere», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

È stata segnalata una vulnerabilità identificata come CVE-2026-42945 nel modulo ngx_http_rewrite_module di NGINX.

Il problema riguarda configurazioni NGINX specifiche che usano direttive rewrite con catture PCRE anonime come $1 o $2, dove la stringa di sostituzione include un punto interrogativo ?. In determinate condizioni, un attaccante non autenticato può inviare richieste HTTP appositamente costruite che provocano il crash di un processo worker di NGINX. Sui sistemi in cui l'Address Space Layout Randomization (ASLR) è disattivato, può essere possibile anche l'esecuzione di codice.

Secondo l'avviso ufficiale di NGINX, sono interessate le versioni NGINX Open Source da 0.6.27 a 1.30.0. Le versioni 1.30.1 e successive e 1.31.0 e successive risultano non vulnerabili.

Prodotto	Ramo	Versione vulnerabile	Versione corretta	Gravità	Componente vulnerabile
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Azione consigliata

EuroVPS raccomanda vivamente a tutti i clienti che eseguono NGINX di verificare la versione installata e di rivedere le proprie regole rewrite.

Verifica della versione di NGINX installata:

nginx -v

Verifica delle regole rewrite con catture anonime:

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Aggiornamento a una versione corretta di NGINX

Aggiornate NGINX dai pacchetti del produttore del vostro sistema operativo, del produttore del pannello di controllo o di F5. Le versioni corrette sono nella tabella sopra.

Mitigazione temporanea

Se un aggiornamento immediato non è possibile, rivedete le direttive rewrite interessate e sostituite le catture anonime come $1 e $2 con catture con nome dove applicabile.

Esempio di regola rewrite con cattura anonima:

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Esempio con cattura con nome:

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Dopo ogni modifica alla configurazione, convalidate sempre e ricaricate NGINX:

nginx -t
systemctl reload nginx

Server con Plesk

Plesk ha confermato che Plesk for Linux include NGINX nella sua installazione di base e può essere interessato da CVE-2026-42945, a seconda della versione di NGINX installata e della configurazione delle regole rewrite. Il problema si applica quando le regole rewrite fanno riferimento a catture regex anonime come $1, $2 e pattern simili.

Plesk dichiara che le versioni di NGINX inferiori a 1.31.1 mainline o 1.30.1 stable sono vulnerabili se sono presenti regole rewrite interessate. Plesk segnala inoltre che un pacchetto NGINX aggiornato è previsto tramite il canale ufficiale di aggiornamento di Plesk.

Per i server gestiti con Plesk, i clienti devono applicare l'aggiornamento ufficiale di Plesk non appena disponibile. EuroVPS sconsiglia di sostituire il pacchetto NGINX fornito da Plesk con build di terze parti non supportate, perché ciò può compromettere l'integrazione con Plesk e gli aggiornamenti futuri.

Prodotto	Ramo	Versione vulnerabile	Versione corretta	Gravità	Componente vulnerabile
Plesk for Linux NGINX	NGINX fornito da Plesk	Inferiore a 1.31.1 mainline o a 1.30.1 stable, se sono presenti regole rewrite interessate	Pacchetto ufficiale di aggiornamento NGINX di Plesk	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Raccomandazione di EuroVPS

Confermate anche che l'ASLR sia attivo: sysctl kernel.randomize_va_space deve restituire 2.

Vi serve aiuto?

Se il vostro server è gestito da EuroVPS, aprite un ticket di assistenza e verificheremo e correggeremo NGINX per voi.

Riferimenti

Avviso Plesk: CVE-2026-42945 in NGINX

Avviso di sicurezza F5 / NGINX per CVE-2026-42945

Record NVD CVE-2026-42945