CVE-2026-42945: falha no rewrite module do NGINX

Foi reportada uma vulnerabilidade com o identificador CVE-2026-42945 no ngx_http_rewrite_module do NGINX.

O problema afeta configurações específicas do NGINX que utilizam diretivas rewrite com capturas PCRE sem nome, como $1 ou $2, em que a cadeia de substituição inclui um ponto de interrogação ?. Em determinadas condições, um atacante não autenticado pode enviar pedidos HTTP especialmente construídos que provocam o crash de um processo worker do NGINX. Em sistemas onde o Address Space Layout Randomization (ASLR) está desativado, pode também ser possível a execução de código.

De acordo com o aviso oficial do NGINX, são afetadas as versões NGINX Open Source 0.6.27 a 1.30.0. As versões 1.30.1 e posteriores e 1.31.0 e posteriores constam como não vulneráveis.

Produto	Ramo	Versão vulnerável	Versão corrigida	Gravidade	Componente vulnerável
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Ação recomendada

A EuroVPS recomenda a todos os clientes que executam NGINX que verifiquem a versão instalada e revejam as suas regras rewrite.

Verificar a versão instalada do NGINX:

nginx -v

Verificar a existência de regras rewrite com capturas sem nome:

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Atualizar para uma versão corrigida do NGINX

Atualize o NGINX a partir dos pacotes do fornecedor do seu sistema operativo, do fornecedor do painel de controlo ou da F5. As versões corrigidas estão na tabela acima.

Mitigação temporária

Se não for possível atualizar de imediato, reveja as diretivas rewrite afetadas e substitua as capturas sem nome, como $1 e $2, por capturas com nome onde aplicável.

Exemplo de regra rewrite com uma captura sem nome:

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Exemplo com uma captura com nome:

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Depois de alterar a configuração, valide sempre e faça reload do NGINX:

nginx -t
systemctl reload nginx

Servidores com Plesk

A Plesk confirmou que o Plesk for Linux inclui o NGINX na sua instalação base e pode ser afetado pela CVE-2026-42945, consoante a versão do NGINX instalada e a configuração das regras rewrite. O problema aplica-se quando as regras rewrite fazem referência a capturas regex sem nome, como $1, $2 e padrões semelhantes.

A Plesk indica que as versões do NGINX abaixo de 1.31.1 mainline ou 1.30.1 stable são vulneráveis se existirem regras rewrite afetadas. A Plesk refere também que é esperado um pacote NGINX atualizado através do canal oficial de atualizações da Plesk.

Em servidores geridos pelo Plesk, os clientes devem aplicar a atualização oficial da Plesk assim que estiver disponível. A EuroVPS não recomenda substituir o pacote NGINX fornecido pela Plesk por builds de terceiros não suportadas, porque isso pode afetar a integração com o Plesk e as atualizações futuras.

Produto	Ramo	Versão vulnerável	Versão corrigida	Gravidade	Componente vulnerável
Plesk for Linux NGINX	NGINX fornecido pela Plesk	Abaixo de 1.31.1 mainline ou abaixo de 1.30.1 stable, se existirem regras rewrite afetadas	Pacote oficial de atualização do NGINX da Plesk	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Recomendação da EuroVPS

Confirme também que o ASLR está ativo: sysctl kernel.randomize_va_space deve devolver 2.

Precisa de ajuda?

Se o seu servidor é gerido pela EuroVPS, abra um ticket de suporte e nós revemos e corrigimos o NGINX por si.

Referências

Aviso da Plesk: CVE-2026-42945 no NGINX

Aviso de segurança da F5 / NGINX para a CVE-2026-42945

Registo NVD da CVE-2026-42945