Uma falha de segurança recentemente revelada no NGINX Plus e NGINX Open está sendo ativamente explorada, conforme relatado pela VulnCheck. Identificada como CVE-2026-42945, essa vulnerabilidade possui um escore CVSS de 9.2 e é caracterizada por um estouro de buffer no módulo ngx_http_rewrite_module, afetando versões do NGINX de 0.6.27 a 1.30.0. A falha, introduzida em 2008, pode permitir que atacantes não autenticados causem falhas nos processos de trabalho ou executem código remotamente através de requisições HTTP manipuladas.
Para que a execução de código remoto (RCE) ocorra, é necessário que a proteção ASLR (Address Space Layout Randomization) esteja desativada no dispositivo alvo. Segundo o pesquisador de segurança Kevin Beaumont, a exploração depende de uma configuração específica do NGINX, que o atacante deve conhecer ou descobrir. Os mantenedores do AlmaLinux afirmam que, embora a execução de código não seja trivial na configuração padrão, a falha de negação de serviço (DoS) é suficientemente explorável para ser considerada urgente.
VulnCheck relatou que atores maliciosos já começaram a explorar essa vulnerabilidade, com tentativas de ataque detectadas em suas redes honeypot. As intenções e o alcance completo dessas atividades ainda são desconhecidos. Recomenda-se que os usuários apliquem as correções mais recentes da F5 para proteger suas redes contra essas ameaças ativas.
Além disso, a VulnCheck revelou esforços de exploração direcionados a duas falhas críticas no openDCIM, uma aplicação de código aberto para gestão de infraestrutura de data centers. Ambas as vulnerabilidades têm um escore CVSS de 9.3. A primeira, CVE-2026-28515, é uma falha de autorização que permite a um usuário autenticado acessar funcionalidades de configuração LDAP sem as devidas permissões. A segunda, CVE-2026-28517, é uma vulnerabilidade de injeção de comando no sistema operacional, permitindo execução arbitrária de código.
Essas vulnerabilidades, descobertas por Valentin Lobstein da VulnCheck, podem ser encadeadas para alcançar execução remota de código através de cinco requisições HTTP, resultando em um shell reverso. Observou-se que as atividades dos atacantes se originam de um único IP chinês, utilizando uma implementação personalizada da ferramenta de descoberta de vulnerabilidades Vulnhuntr para verificar automaticamente instalações vulneráveis antes de implantar um web shell PHP.
Fonte:https://thehackernews.com/2026/05/nginx-cve-2026-42945-exploited-in-wild.html
