F5 corrige 11 failles dans NGINX, dont des RCE critiques

Le CERT-FR a publié le 19 octobre l'avis CERTFR-2026-AVI-1341, qui relaie les bulletins de sécurité F5 du 14 octobre 2026. Onze CVE touchent l'ensemble de la gamme NGINX. Certaines permettent à un attaquant distant d'exécuter du code arbitraire, de provoquer un déni de service ou de porter atteinte à la confidentialité des données. Si vous exploitez NGINX en production, planifiez la mise à jour maintenant.

Les trois failles les plus sérieuses sont des corruptions mémoire exploitables sans authentification : CVE-2026-15176 et CVE-2026-97205 dans le module ngx_http_v3_module (HTTP/3), et CVE-2026-93479 liée à la directive map. L'avis cite aussi CVE-2026-97629 (tickets de session TLS) et sept autres identifiants. F5 documente les correctifs par CVE dans sa base de connaissances (K000162416, K000162608, K000162607 pour les trois corruptions mémoire).

Produits et versions concernés

D'après le CERT-FR, les versions corrigées sont :

• NGINX Open Source : 1.31.x avant 1.31.7, et versions avant 1.30.6
• NGINX Plus : avant 37.1.0.1 et 37.0.5.1
• NGINX Ingress Controller : 2026-lts-r3 à 2026-lts-r8, et versions avant 5.7.0
• NGINX Gateway Fabric : avant 2.8.0
• NGINX Instance Manager : 2.x avant 2.24.0
• F5 WAF for NGINX : 5.x avant 5.14.2 et 5.16.0
• F5 DoS for NGINX : 4.x avant 4.11.0
• NGINX App Protect WAF / DoS : 4.x et 5.x
• NGINX JavaScript : avant 1.0.2

Statut d'exploitation

F5 ne signale pas d'exploitation en cours ni de code d'attaque public pour ces vulnérabilités. À tempérer : les produits F5 sont des cibles récurrentes — la CISA liste huit failles F5 activement exploitées depuis novembre 2021. L'exposition dépend aussi de la configuration : les bugs HTTP/3 ne concernent que les serveurs qui exposent le module ngx_http_v3_module.

Que faire

1. Mettez à jour selon votre produit : NGINX Plus en 37.1.0.1 ou 37.0.5.1, NGINX Open Source en 1.31.7 (mainline) ou 1.30.6 (stable), Ingress Controller en 5.7.0, Gateway Fabric en 2.8.0, Instance Manager en 2.24.0.
2. En attendant le correctif, appliquez les contournements F5 : pour CVE-2026-15176, évitez la directive alias dans les blocs location et la variable $request_filename ; pour CVE-2026-97205, désactivez l'E/S fichier asynchrone (AIO) ou les SSI ; pour CVE-2026-93479, utilisez des captures nommées dans les expressions régulières.
3. Recensez vos instances NGINX (y compris les Ingress Controller dans Kubernetes et les App Protect) avant de supposer qu'un seul correctif suffit.

Contexte

C'est une nouvelle salve de correctifs mémoire dans NGINX cette année, après le RCE via réécriture d'URL de RIFT (CVE-2026-42945). Le point d'attention ici est l'ampleur : l'avis couvre toute la gamme F5/NGINX, des binaires open source aux contrôleurs Ingress Kubernetes, et les équipes qui ne suivent que le serveur open source risquent d'oublier les App Protect et Ingress Controller exposés.