NGINX Rift, CVE-2026-42945, touche le module rewrite de NGINX et peut provoquer un crash, voire une exécution de code selon la configuration.
NGINX Rift : une faille critique dans le module rewrite
Une vulnérabilité vieille de plusieurs années touche NGINX Open Source et NGINX Plus, avec un PoC déjà publié sur GitHub.
F5 a publié un avis de sécurité autour d’une faille dans NGINX, suivie sous l’identifiant CVE-2026-42945 et surnommée NGINX Rift par les chercheurs de depthfirst.
La faille concerne le module `ngx_http_rewrite_module`, donc la partie qui gère certaines règles de réécriture d’URL. Dans une configuration précise, avec des captures PCRE non nommées comme `$1` ou `$2` et une chaîne de remplacement contenant un `?`, une requête HTTP spécialement construite peut provoquer un dépassement de tampon en heap.
Dans le meilleur des cas, on parle d’un worker NGINX qui redémarre. Dans le pire des cas, notamment sur des systèmes sans ASLR, F5 indique qu’une exécution de code peut être possible.
Les versions concernées côté NGINX Open Source vont de 0.6.27 à 1.30.0. Les versions corrigées sont :
NGINX Open Source 1.30.1
NGINX Open Source 1.31.0
Côté NGINX Plus, les branches R32 à R36 sont concernées, avec des correctifs publiés par F5 pour les versions supportées.
Le point important : ce n’est pas “toutes les installations NGINX exposées sont automatiquement exploitables”. Il faut une configuration vulnérable autour des directives rewrite/if/set. Mais comme NGINX est très présent en frontal web, reverse proxy et homelab, ça mérite clairement une vérification rapide.
Pour vérifier la version installée :
nginx -v
À faire côté admin :
- mettre à jour NGINX dès que le paquet corrigé est disponible
- vérifier les configurations qui utilisent `rewrite`, `if` ou `set`
- éviter les vieilles versions compilées à la main oubliées dans un coin
- surveiller les images Docker qui embarquent leur propre NGINX
Autre point qui rend le sujet plus sensible : un dépôt GitHub public existe déjà avec un proof-of-concept. Je ne vais pas détailler l’exploitation ici, mais ça veut dire que la faille n’est pas juste théorique.
Pour un petit serveur perso, un reverse proxy maison ou une stack Docker exposée sur Internet, je mettrais clairement cette mise à jour dans la pile “à faire rapidement”.
Avis F5
Dépôt Nginx-Rift