NGINX Rift: 18 Jahre alte Schwachstelle CVE-2026-42945 wird aktiv ausgenutzt
Eine 18 Jahre alte Lücke im NGINX-Webserver erlaubt unter bestimmten Bedingungen sogar Remote Code Execution. Erste Angriffe laufen, Patch-Versionen sind verfügbar. Rund 5,7 Millionen Server gelten als exponiert.
Sicherheitsforscher haben eine 18 Jahre alte Schwachstelle im NGINX-Webserver offengelegt, die unter dem Spitznamen „NGINX Rift" Schlagzeilen macht. Sie wird unter CVE-2026-42945 mit einem CVSS-Wert von 9,2 als kritisch geführt und betrifft sowohl NGINX Open Source als auch das kommerzielle NGINX Plus. Ein Heap-Buffer-Overflow in einer selten genutzten Code-Pfad-Konstellation kann zumindest einen stabilen Denial of Service auslösen und unter bestimmten, vom Entdecker dokumentierten Konfigurationen sogar Remote Code Execution ermöglichen.
Patch-Versionen stehen seit kurzem bereit: NGINX Open Source 1.31.0 und 1.30.1 sowie NGINX Plus R36 P4 und R32 P6 beheben den Fehler. Laut VulnCheck zeigen Censys-Scans rund 5,7 Millionen exponierte NGINX-Server in potenziell verwundbaren Versionen, und Angriffe sind bereits gemeldet. Andere Forscher betonen, dass die ausnutzbaren Angriffsketten an bestimmte Rewrite-Pattern und Endpoint-Konfigurationen geknüpft sind, ein verlässlicher RCE-Exploit zudem ASLR-Deaktivierung im Beweis-of-Concept verlangte.
Was Admins jetzt tun sollten
- Versionsstand prüfen:
nginx -vauf jedem Webserver, Reverse Proxy und Loadbalancer. Alle Linien älter als 1.30.1 sind angreifbar. - Mindestens auf NGINX Open Source 1.31.0 oder 1.30.1 aktualisieren, bei kommerziellem NGINX Plus auf R36 P4 bzw. R32 P6.
- Konfigurationen auf komplexe
rewrite-Regeln, langeproxy_pass-Ketten und exotischemap-Blöcke prüfen – sie sind nach derzeitigem Stand die Voraussetzung für eine RCE-Kette. - Logs auf ungewöhnliche 500-Fehler und reproduzierbare Worker-Crashes durchsuchen; das sind die typischen Spuren des bereits beobachteten DoS-Verhaltens.
Für DACH-Hoster und WordPress-Agenturen, die NGINX als Reverse Proxy vor PHP-FPM oder Node.js betreiben, ist das Update kein Routine-, sondern ein Priority-Patch. Wer NGINX als Sidecar in Docker-Containern fährt, sollte auch dort die Basis-Images neu bauen – die offiziellen nginx:1.31- und nginx:1.30.1-Tags sind bereits verfügbar. Schließlich gilt: Auch wenn die RCE-Voraussetzungen restriktiv sind, ist die schiere Zahl betroffener Server Anreiz genug für opportunistische Scans.
Mehr aus der Kategorie Server & Netzwerk: News aus der Kategorie Server & Netzwerk
Quellen: BleepingComputer – 18-year-old NGINX vulnerability allows DoS, potential RCE, The Register – NGINX Rift attackers waste no time targeting exposed servers.
