Cảnh báo ba lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến NGINX

F5 Networks vừa chính thức phát đi cảnh báo về ba lỗ hổng bảo mật có mức độ nghiêm trọng cao, tác động trực tiếp đến các sản phẩm NGINX Plus và NGINX Open Source, đe dọa sự ổn định của nhiều hệ thống máy chủ web trên toàn cầu.

Tổng quan về các lỗ hổng bảo mật trong NGINX

Những lỗ hổng này cho phép kẻ tấn công ở khoảng cách xa, không cần thực hiện xác thực, có khả năng gây ra tình trạng từ chối dịch vụ (DoS) bằng phương pháp làm treo các tiến trình worker thông qua việc gửi đi các gói yêu cầu HTTP được tinh chỉnh đặc biệt. Đáng chú ý hơn, trong một số trường hợp cụ thể khi cơ chế chống quá tải bộ nhớ Address Space Layout Randomization (ASLR) bị vô hiệu hóa hoặc bị kẻ xấu vô hiệu hóa thành công, tin tặc còn có tiềm năng thực thi mã từ xa (RCE).

Các điểm yếu này chủ yếu tập trung tại khu vực data plane của NGINX, nơi chịu trách nhiệm xử lý toàn bộ lưu lượng truy cập thực tế từ người dùng.

Chi tiết kỹ thuật các mã lỗi CVE

Lỗ hổng mang mã CVE-2026-97205 thực chất là một lỗi Use-after-free nằm sâu bên trong module ngx_http_core_module. Sự cố này bị kích hoạt khi tính năng Asynchronous file I/O (AIO) được kích hoạt và hệ thống tiến hành xử lý một trang Server Side Includes (SSI) có chứa lệnh include virtual. Hậu quả là tiến trình worker có thể tiếp tục truy cập vào một vùng nhớ đã được giải phóng trước đó, dẫn đến hỏng hóc cấu trúc bộ nhớ hoặc làm tiến trình đột ngột dừng hoạt động.

Trong khi đó, hai lỗ hổng còn lại là CVE-2026-93479 và CVE-2026-15176 đều bắt nguồn từ lỗi Heap buffer overflow. Cụ thể, CVE-2026-93479 xuất hiện khi chỉ thị root hoặc định dạng access-log tận dụng các biến capture của regex trước thời điểm biến đầu ra của map được xử lý. Còn CVE-2026-15176 lại tác động đến các khối location khi kết hợp alias cùng rewrite, hoặc khi biến $request_filename xuất hiện trong log_format. Lợi dụng các điều kiện này, kẻ tấn công có thể chèn dữ liệu ghi đè vượt quá vùng nhớ đã được cấp phát ban đầu.

Biện pháp khắc phục và giảm thiểu rủi ro

Giải pháp tối ưu và triệt để nhất để phòng thủ trước các nguy cơ trên là tiến hành cập nhật phần mềm. Đội ngũ quản trị hệ thống cần nhanh chóng kiểm tra phiên bản NGINX đang sử dụng và nâng cấp lên các bản phát hành đã được vá lỗi an toàn. Đối với NGINX Open Source, người dùng cần nâng cấp lên phiên bản 1.31.7 hoặc 1.30.6. Trong khi đó, các hệ thống sử dụng NGINX Plus cần chuyển đổi lên phiên bản 37.0.5.1 hoặc 37.1.0.1.

Trong tình huống chưa thể áp dụng ngay các bản vá chính thức, các đội ngũ vận hành hạ tầng mạng có thể xem xét triển khai một số biện pháp giảm thiểu tạm thời thông qua việc tinh chỉnh lại tệp cấu hình hệ thống, đồng thời luôn kiểm tra kỹ lưỡng các tham số cấu hình trước khi đưa vào áp dụng thực tế.