CVE-2026-42533 : Vulnérabilité critique dans NGINX due à un débordement de tampon de la mémoire dynamique
Ce texte a été généré par l'intelligence artificielle (IA).Le 15 juillet 2026, une faille de sécurité critique a été révélée dans le serveur web NGINX, très répandu. Cette faille, identifiée sous le numéro CVE-2026-42533 La vulnérabilité identifiée concerne à la fois NGINX Open Source et NGINX Plus et permet aux attaquants, dans certaines circonstances, de mener des attaques par déni de service (DoS) et, potentiellement, d'exécuter du code malveillant (exécution de code à distance, RCE).
Cette vulnérabilité est classée comme un débordement de tampon de la mémoire dynamique (heap buffer overflow) et a reçu un score CVSS 3.1 de 8,1 (Élevé) évalué — selon la nouvelle échelle CVSS v4.0, il obtient même une note de 9.2 (Critique). Elle est déclenchée par des requêtes HTTP spécialement préparées, mais uniquement si une configuration de serveur spécifique, non standard, est utilisée. Des correctifs sont disponibles et doivent être installés sans délai.
Contexte technique et vecteur d'attaque
L'erreur se situe au niveau du traitement des expressions régulières au sein de la carte-Directive de NGINX. Un attaquant peut, par le biais d'une requête HTTP ciblée, provoquer un débordement de tampon dans la mémoire heap du processus worker de NGINX. Cela entraîne généralement un plantage et un redémarrage automatique du processus, ce qui provoque une interruption temporaire du service (DoS).
Le plus grand danger réside dans la possibilité d'exploiter cette faille pour exécuter du code à distance. Selon l'avis de sécurité publié par F5, la société à l'origine de NGINX, la réussite de l'exécution de code dépend d'autres facteurs, tels que la désactivation de la fonction ASLR (Address Space Layout Randomization). Stan Shaw (cyberstan), l'un des principaux auteurs du signalement de cette vulnérabilité parmi plus d'une douzaine de chercheurs indépendants, note toutefois que la faille elle-même pourrait permettre une divulgation d'informations pouvant être exploitée pour contourner l'ASLR.
Ce qui est déterminant pour le risque, c'est que toutes les instances NGINX ne sont pas vulnérables. L'exploitation dépend d'une configuration spécifique dans le fichier de configuration : la carteLa directive doit utiliser des expressions régulières dans lesquelles une variable de capture est référencée dans l'expression de chaîne avant que la variable de sortie de la carte ne soit évaluée dans cette même expression. Les configurations par défaut ne sont généralement pas concernées par cette vulnérabilité. Cette dépendance fait de l'identification des systèmes vulnérables une tâche qui va au-delà d'une simple analyse des versions et nécessite une analyse de la configuration.
Il convient également de noter que CVE-2026-42533 est déjà le troisième débordement de pile (heap overflow) dans le moteur de script de Nginx en l'espace d'environ deux mois — après CVE-2026-42945 („ Rift “) en mai 2026 et du bug de capture par chevauchement CVE-2026-9256, survenu quelques jours plus tard. Cette récurrence dans la même partie du code est un indicateur significatif du risque structurel que présentent les chaînes d'approvisionnement dépendantes de NGINX.
Versions concernées et mesures recommandées
Pour corriger cette vulnérabilité, les installations NGINX concernées doivent être mises à jour vers une version corrigée. Le texte complet Avis de sécurité F5 K000162097 contient des informations spécifiques à cette version.
Versions logicielles concernées :
NGINX Open Source : 0,9,6 à 1,31,2
NGINX Plus : R33 à R36 (avant P7) ainsi que 37.0.0.1 à 37.0.2.1
Versions corrigées du logiciel :
NGINX Open Source : 1.31.3 (Mainline) ou 1.30.4 (Stable) et versions ultérieures
NGINX Plus : R36 P7 ou 37.0.3.1 et versions ultérieures
Recommandations d'action :
Priorité 1 : Effectuer la mise à niveau : La seule solution pour corriger définitivement cette vulnérabilité consiste à effectuer une mise à jour vers l'une des versions corrigées mentionnées ci-dessus.
Vérifier les configurations : Les administrateurs devraient vérifier que leurs configurations NGINX ne présentent pas l'utilisation vulnérable décrite de la carte- Vérifier la directive. Une directive fournie par la communauté Scanner de configuration peut aider à l'identifier.
Soulagement temporaire : À titre de solution provisoire, on peut passer des captures Regex non nommées aux captures nommées dans les carte-réduire le risque grâce à ces directives. Selon les chercheurs, cette solution de contournement ne comble toutefois pas entièrement cette faille.
Suivre les produits associés : F5 a annoncé que d'autres produits, tels que le contrôleur NGINX Ingress et, le cas échéant, d'autres produits F5, pourraient également être concernés. Pour le WAF App Protect et les composants similaires, il est recommandé de consulter les avis officiels de F5 afin de se tenir informé des mises à jour.
Pertinence pour les organisations de la région DACH
Pour les entreprises et les administrations des pays germanophones, plusieurs aspects réglementaires doivent être pris en compte en cas d'attaque réussie visant la vulnérabilité CVE-2026-42533 : si des données à caractère personnel sont compromises à la suite d’une exploitation de la vulnérabilité permettant l’exécution de code (RCE), l’obligation de notification prévue à l’article 33 du RGPD s’applique : l’autorité compétente en matière de protection des données doit être informée dans un délai de 72 heures. Les opérateurs d’infrastructures critiques (KRITIS) ainsi que les entreprises relevant du champ d’application de la directive NIS 2 sont en outre tenus de gérer de manière proactive les cyberrisques au sein de la chaîne d’approvisionnement, ce qui inclut l’application rapide de correctifs aux vulnérabilités connues des composants tiers utilisés. Le BSI recommande de manière générale d’installer sans délai les mises à jour de sécurité pour les composants de serveurs web exposés.
Gestion des surfaces d'attaque avec LocateRisk
La protection contre des menaces telles que CVE-2026-42533 nécessite une visibilité totale sur sa propre infrastructure informatique accessible depuis l'extérieur. Ce sont souvent des systèmes oubliés ou non documentés (informatique fantôme) — par exemple des sous-domaines qui ne font plus l'objet d'une maintenance active, des ressources cloud non suivies ou des serveurs qui ne figurent plus dans l'inventaire — qui restent sans correctifs et constituent une porte d'entrée.
Une solution de gestion de la surface d'attaque externe (EASM), telle que la plateforme LocateRisk, fournit ici la base nécessaire. Cette solution identifie en continu tous les systèmes et services d'une entreprise accessibles au public, y compris toutes les instances NGINX. En détectant les versions utilisées, les équipes de sécurité informatique peuvent identifier de manière ciblée les serveurs potentiellement affectés par la vulnérabilité et prioriser leur correction.
Dans le cadre de la gestion des risques liés aux fournisseurs (VRM), la plateforme facilite également l'évaluation de la chaîne d'approvisionnement numérique. Les entreprises peuvent ainsi vérifier si des prestataires ou partenaires critiques utilisent des versions vulnérables de NGINX, ce qui constituerait un risque pour leur propre organisation. La récurrence de failles NGINX graves souligne pourquoi une surveillance continue de l’infrastructure des fournisseurs tiers — et non pas seulement des audits ponctuels — est un élément essentiel d’un programme VRM résilient. Cette approche favorise la conformité à des réglementations telles que la directive NIS-2, qui exigent une gestion proactive des cyberrisques dans la chaîne d’approvisionnement. La plateforme LocateRisk, solution « Made in Germany », est conçue pour être conforme au RGPD et est hébergée dans des centres de données allemands certifiés.
Non. La vulnérabilité CVE-2026-42533 dépend de la configuration et ne se produit que si la carte-directive avec des expressions régulières et qu'une variable de capture est référencée dans l'expression de chaîne avant que la variable de sortie de la carte ne soit évaluée dans cette même expression. Les configurations par défaut ne comportant pas cette utilisation spécifique de la carte-Les directives ne sont pas concernées.
Pour NGINX Open Source, les versions 1.31.3 (Mainline) et 1.30.4 (Stable), ainsi que toutes les versions plus récentes, ne sont plus vulnérables. Pour NGINX Plus, les versions R36 P7 et 37.0.3.1, ainsi que les versions plus récentes, corrigent cette vulnérabilité. Toutes les versions antérieures, à partir de NGINX Open Source 0.9.6 ou NGINX Plus R33, sont considérées comme potentiellement concernées.
Au 20 juillet 2026, la vulnérabilité CVE-2026-42533 ne figure pas dans le catalogue des vulnérabilités exploitées de la CISA et aucun code d'exploitation n'a été rendu public. Le chercheur Stan Shaw a annoncé qu’il publierait sa preuve de concept environ 21 jours après la publication du correctif, soit vers le 5 août 2026. Il est donc vivement recommandé de procéder sans délai à la mise à jour vers une version corrigée.
Demandez maintenant une Démo en direct personelle
Identifiez et réduisez vos cyber-risques grâce à un aperçu comparable et compréhensible de votre sécurité informatique. Demandez conseil à nos experts et découvrez comment LocateRisk peut vous aider à résoudre vos cyber-risques.
En savoir plus, réserver une démo ou simplement échanger quelques mots ? Nous nous en réjouissons !
Nous utilisons des cookies pour optimiser notre site web et nos services.
Fonctionnel
Toujours activé
le stockage technique ou l'accès est strictement nécessaire dans le but légitime de permettre l'utilisation d'un service spécifique expressément demandé par l'abonné ou l'utilisateur, ou dans le seul but d'effectuer la transmission d'une communication par la voie d'un réseau de communications électroniques
Préférences
le stockage ou l'accès technique est nécessaire aux fins légitimes de la conservation des préférences qui n'ont pas été demandées par l'abonné ou l'utilisateur.
Statistiques
le stockage ou l'accès technique, à des fins exclusivement statistiques.le stockage ou l'accès technique, utilisé uniquement à des fins statistiques anonymes. En l'absence d'une citation, d'un accord volontaire de ton fournisseur d'accès à Internet ou d'enregistrements supplémentaires de tiers, les informations stockées ou consultées à cette seule fin ne peuvent généralement pas être utilisées pour t'identifier.
Marketing
Le stockage technique ou l'accès est nécessaire pour créer des profils d'utilisateurs, pour envoyer des publicités ou pour suivre l'utilisateur sur un site web ou sur plusieurs sites web à des fins de marketing similaires.
Français 
Deutsch 
English