CVE-2026-42533: Kritische Schwachstelle in NGINX durch Heap Buffer Overflow
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Am 15. Juli 2026 wurde eine kritische Sicherheitslücke im weitverbreiteten Webserver NGINX offengelegt. Die unter der Kennung CVE-2026-42533 geführte Schwachstelle betrifft sowohl NGINX Open Source als auch NGINX Plus und ermöglicht Angreifern unter bestimmten Umständen Denial-of-Service-Angriffe (DoS) sowie potenziell die Ausführung von Schadcode (Remote Code Execution, RCE).
Die Schwachstelle ist als Heap Buffer Overflow klassifiziert und wurde mit einem CVSS 3.1 Score von 8.1 (High) bewertet — nach dem neueren CVSS v4.0-Maßstab sogar mit 9.2 (Critical). Sie wird durch speziell präparierte HTTP-Anfragen ausgelöst, allerdings nur, wenn eine spezifische, nicht standardmäßige Serverkonfiguration verwendet wird. Patches stehen zur Verfügung und sollten umgehend eingespielt werden.
Technischer Hintergrund und Angriffsvektor
Der Fehler befindet sich in der Verarbeitung von regulären Ausdrücken innerhalb der map-Direktive von NGINX. Ein Angreifer kann durch eine gezielte HTTP-Anfrage einen Pufferüberlauf im Heap-Speicher des NGINX-Worker-Prozesses verursachen. Die unmittelbare Folge ist in der Regel ein Absturz und automatischer Neustart des Prozesses, was zu einer vorübergehenden Dienstunterbrechung (DoS) führt.
Die größere Gefahr liegt in der potenziellen Ausnutzbarkeit für eine Remote Code Execution. Laut dem Advisory von F5, dem Unternehmen hinter NGINX, hängt eine erfolgreiche Codeausführung von weiteren Faktoren ab, wie etwa einem deaktivierten Address Space Layout Randomization (ASLR). Stan Shaw (cyberstan), einer der primären Melder der Schwachstelle unter mehr als einem Dutzend unabhängiger Forscher, merkt jedoch an, dass der Fehler selbst eine Informationspreisgabe ermöglichen könnte, die zur Umgehung von ASLR genutzt werden kann.
Entscheidend für das Risiko ist, dass nicht jede NGINX-Instanz verwundbar ist. Die Ausnutzung ist an eine spezifische Konstellation in der Konfigurationsdatei gebunden: Die map-Direktive muss reguläre Ausdrücke verwenden, bei denen eine Capture-Variable im String-Ausdruck referenziert wird, bevor die Ausgabevariable der Map in demselben Ausdruck ausgewertet wird. Standardkonfigurationen sind davon typischerweise nicht betroffen. Diese Abhängigkeit macht die Identifikation gefährdeter Systeme zu einer Aufgabe, die über einen reinen Versionsscan hinausgeht und eine Analyse der Konfiguration erfordert.
Bemerkenswert ist zudem: CVE-2026-42533 ist bereits der dritte Heap-Overflow in NginxsScript-Engine innerhalb von etwa zwei Monaten — nach CVE-2026-42945 („Rift“) im Mai 2026 und dem überlappenden Capture-Bug CVE-2026-9256 wenige Tage später. Dieses Wiederholungsmuster im selben Code-Bereich ist ein relevanter Indikator für das strukturelle Risiko, das von NGINX-abhängigen Lieferketten ausgeht.
Betroffene Versionen und empfohlene Maßnahmen
Um die Schwachstelle zu beheben, müssen betroffene NGINX-Installationen auf eine gepatchte Version aktualisiert werden. Das vollständige F5 Security Advisory K000162097 enthält versionsspezifische Details.
Betroffene Software-Versionen:
- NGINX Open Source: 0.9.6 bis 1.31.2
- NGINX Plus: R33 bis R36 (vor P7) sowie 37.0.0.1 bis 37.0.2.1
Korrigierte Software-Versionen:
- NGINX Open Source: 1.31.3 (Mainline) oder 1.30.4 (Stable) und neuer
- NGINX Plus: R36 P7 oder 37.0.3.1 und neuer
Handlungsempfehlungen:
- Priorität 1: Upgrade durchführen: Die einzige vollständige Behebung der Schwachstelle ist das Upgrade auf eine der oben genannten, korrigierten Versionen.
- Konfigurationen prüfen: Administratoren sollten ihre NGINX-Konfigurationen auf die beschriebene, verwundbare Nutzung der map-Direktive überprüfen. Ein von der Community bereitgestellter Konfigurations-Scanner kann bei der Identifizierung helfen.
- Temporäre Milderung: Als Übergangslösung kann die Umstellung von unbenannten auf benannte Regex-Captures in den map-Direktiven das Risiko reduzieren. Laut den Forschern schließt dieser Workaround die Lücke jedoch nicht vollständig.
- Abhängige Produkte beobachten: F5 hat angekündigt, dass auch weitere Produkte wie der NGINX Ingress Controller und ggf. weitere F5-Produkte betroffen sein könnten — für den App Protect WAF und ähnliche Komponenten empfiehlt sich das Beobachten der offiziellen F5-Advisories auf Updates.
Relevanz für DACH-Organisationen
Für Unternehmen und Behörden im deutschsprachigen Raum sind bei einem erfolgreichen Angriff auf CVE-2026-42533 mehrere regulatorische Aspekte zu beachten: Sofern durch eine RCE-Ausnutzung personenbezogene Daten kompromittiert werden, greift die Meldepflicht nach Art. 33 DSGVO — die zuständige Datenschutzbehörde muss innerhalb von 72 Stunden informiert werden. Für Betreiber kritischer Infrastrukturen (KRITIS) sowie Unternehmen im Anwendungsbereich der NIS-2-Richtlinie besteht darüber hinaus die Pflicht zum proaktiven Management von Cyberrisiken in der Lieferkette, wozu das zeitnahe Patchen bekannter Schwachstellen in eingesetzten Drittkomponenten zählt. Das BSI empfiehlt generell, Sicherheitsupdates für exponierte Webserver-Komponenten umgehend einzuspielen.
Angriffsflächenmanagement mit LocateRisk
Die Absicherung gegen Bedrohungen wie CVE-2026-42533 erfordert vollständige Sichtbarkeit über die eigene, extern erreichbare IT-Infrastruktur. Oft sind es vergessene oder undokumentierte Systeme (Schatten-IT) — etwa nicht mehr aktiv gewartete Subdomains, ungetrackte Cloud-Assets oder aus dem Inventar gefallene Server —, die ungepatcht bleiben und ein Einfallstor darstellen.
Ein External Attack Surface Management (EASM) wie die LocateRisk-Plattform schafft hier die notwendige Grundlage. Die Lösung identifiziert kontinuierlich alle öffentlich zugänglichen Systeme und Dienste eines Unternehmens, einschließlich aller NGINX-Instanzen. Durch die Erkennung der eingesetzten Versionen können IT-Sicherheitsteams gezielt jene Server identifizieren, die potenziell von der Schwachstelle betroffen sind, und die Behebung priorisieren.
Im Kontext des Vendor Risk Managements (VRM) unterstützt die Plattform zudem bei der Bewertung der digitalen Lieferkette. Unternehmen können überprüfen, ob kritische Dienstleister oder Partner verwundbare NGINX-Versionen betreiben und so ein Risiko für die eigene Organisation darstellen. Das wiederkehrende Muster schwerwiegender NGINX-Schwachstellen unterstreicht, warum ein kontinuierliches Monitoring der Drittanbieter-Infrastruktur — und nicht nur einmalige Audits — ein wesentlicher Bestandteil eines belastbaren VRM-Programms ist. Dieser Ansatz unterstützt die Einhaltung von Regularien wie NIS-2, die ein proaktives Management von Cyberrisiken in der Lieferkette fordern. Die LocateRisk-Plattform ist als Made-in-Germany-Lösung auf DSGVO-Konformität ausgelegt und wird in zertifizierten deutschen Rechenzentren gehostet.
Quellen und weitere Infos
Häufige Fragen
Nein. CVE-2026-42533 ist konfigurationsabhängig und tritt ausschließlich dann auf, wenn die map-Direktive mit regulären Ausdrücken verwendet wird und dabei eine Capture-Variable im String-Ausdruck referenziert wird, bevor die Ausgabevariable der Map in demselben Ausdruck ausgewertet wird. Standardkonfigurationen ohne diese spezifische Nutzung der map-Direktive sind nicht betroffen.
Für NGINX Open Source sind die Versionen 1.31.3 (Mainline) und 1.30.4 (Stable) sowie alle neueren Releases nicht mehr verwundbar. Für NGINX Plus gilt: R36 P7 und 37.0.3.1 sowie neuere Versionen schließen die Schwachstelle. Alle früheren Versionen ab NGINX Open Source 0.9.6 bzw. NGINX Plus R33 gelten als potenziell betroffen.
Stand 20. Juli 2026 befindet sich CVE-2026-42533 nicht auf dem CISA Known Exploited Vulnerabilities Catalog und es wurde kein öffentlicher Exploit-Code veröffentlicht. Forscher Stan Shaw hat angekündigt, seinen Proof-of-Concept ca. 21 Tage nach der Patch-Veröffentlichung — also etwa am 5. August 2026 — zu publizieren. Ein umgehendes Upgrade auf eine gepatchte Version ist daher dringend empfohlen.
Deutsch 
English 
Français