CVE-2026-42533: Heap Buffer Overflow in Nginx

CVE-2026-42533 identifica una vulnerabilità di heap buffer overflow in Nginx Plus e Nginx Open Source. La falla si manifesta quando la direttiva map utilizza regex matching e le variabili di capture vengono referenziate prima della variabile di output. Un attaccante non autenticato può sfruttarla con richieste HTTP artigianali, causando crash del processo worker Nginx o, su sistemi senza ASLR, esecuzione remota di codice (RCE).

La vulnerabilità ha un punteggio CVSS di 8,1, classificandola come high severity. È stata pubblicata dalla NVD il 15 luglio 2026. L'impatto è limitato al data plane (il server web stesso), senza esposizioni del control plane. I segnali attuali su social media riportano problematiche post-patch su AlmaLinux 8, 9 e 10 (HTTP 500 riscontrati dopo l'applicazione della correzione), suggerendo che una patch è stata diffusa ma con possibili effetti indesiderati. Attualmente non sono segnalati exploit pubblici su repository GitHub.

Le azioni di difesa prioritaria includono: verificare il rilascio di patch ufficiali presso Nginx e il vendor della propria distribuzione Linux; testare rigorosamente la patch in ambienti non-produttivi prima del deployment per escludere regressioni; disabilitare temporaneamente le direttive map con pattern regex se non strettamente necessarie fino alla verifica della stabilità della patch; monitorare i processi worker Nginx per riavvii inaspettati. Consultare gli advisory ufficiali Nginx e i changelog della propria distribuzione per il timing esatto della correzione.