NGINX unter Beschuss: Kritische Lücke CVE-2026-42945 wird bereits aktiv angegriffen
Heap-Overflow im Rewrite-Modul, seit 2008 unentdeckt, jetzt im Visier von Angreifern: Was die neue NGINX-Schwachstelle für Webserver, Reverse-Proxys und Kubernetes-Ingress bedeutet.
Auf einen Blick
CVE-2026-42945 ist eine kritische Heap-Overflow-Lücke im NGINX-Rewrite-Modul. Betroffen sind NGINX Open Source und NGINX Plus 0.6.27 – 1.30.0. Sicherheitsforscher beobachten bereits aktive Angriffe; im schlimmsten Fall ist Remote Code Execution möglich. Wer NGINX produktiv einsetzt, sollte jetzt patchen, ASLR sicherstellen und Rewrite-Regeln auditieren.
Kritische NGINX-Schwachstelle – aktiv im Internet ausgenutzt
Eine neue kritische Schwachstelle in NGINX sorgt weltweit für Alarmstimmung in der IT-Sicherheitsbranche. Die Sicherheitslücke mit der Kennung CVE-2026-42945 wird laut mehreren Sicherheitsforschern bereits aktiv im Internet ausgenutzt – nur wenige Tage nach der öffentlichen Bekanntmachung.
Betroffen sind sowohl NGINX Open Source als auch NGINX Plus in den Versionen 0.6.27 bis 1.30.0. Besonders kritisch: Angreifer können unter bestimmten Bedingungen Worker-Prozesse abstürzen lassen oder sogar Remote Code Execution (RCE) erreichen.
Heap-Overflow im Rewrite-Modul
Die Ursache der Schwachstelle liegt im ngx_http_rewrite_module. Dort befindet sich ein Heap-Buffer-Overflow, der offenbar bereits seit 2008 im Code existiert haben soll. Sicherheitsforscher sprechen deshalb von einer extrem lange unentdeckten Schwachstelle.
Durch speziell präparierte HTTP-Anfragen können Angreifer den Fehler triggern. Im schlimmsten Fall kann dies zur Ausführung beliebigen Codes auf dem Zielsystem führen. Allerdings gelten Einschränkungen:
- ↳Für vollständige RCE-Angriffe muss ASLR deaktiviert sein
- ↳Die Angreifer benötigen eine bestimmte verwundbare NGINX-Konfiguration
- ↳Auch ohne RCE gilt die DoS-Komponente als hochkritisch
Selbst Sicherheitsforscher betonen: Auch wenn die zuverlässige Codeausführung nicht trivial sei, müsse die Lücke „dringend" behandelt werden.
Exploits bereits im Umlauf
Besonders brisant: Sicherheitsunternehmen wie VulnCheck beobachten bereits aktive Angriffsversuche gegen verwundbare Systeme. Laut den bisherigen Erkenntnissen werden Honeypots gezielt angegriffen, um verwundbare NGINX-Installationen zu identifizieren.
Aktuell ist noch unklar:
- ↳welche Gruppen hinter den Angriffen stecken
- ↳welche Ziele konkret verfolgt werden
- ↳ob bereits erfolgreiche Kompromittierungen stattgefunden haben
Die Situation zeigt erneut, wie schnell neue Schwachstellen heute weaponized werden – oft innerhalb weniger Tage nach der ersten Veröffentlichung.
Welche Systeme sind gefährdet?
NGINX gehört zu den weltweit am meisten genutzten Webservern. Die Angriffsfläche ist entsprechend enorm – betroffen sind insbesondere:
Linux-Webserver
Klassische NGINX-Setups als HTTP/HTTPS-Frontend.
Reverse-Proxys
NGINX vor Applikationsservern – häufig exponiert.
Load-Balancer
Zentrale Eingangspunkte für Web-Traffic.
Kubernetes-Ingress
Ingress-NGINX-Controller in Clustern weltweit.
Hosting & Container
Shared-Hosting, Docker-Stacks, Edge-Deployments.
Unternehmensportale
Login-Portale, APIs und Kundenseiten mit NGINX.
Sofortcheck: NGINX-Version & Update
Zuerst die laufende NGINX-Version prüfen und gegen die betroffenen Versionen abgleichen:
nginx -v
# nginx version: nginx/1.27.3
# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade nginx
# RHEL / Rocky / AlmaLinux
sudo dnf upgrade nginx
# Container neu bauen
docker pull nginx:stable && docker compose up -d --force-recreateAnschließend ASLR und aktive Rewrite-Regeln verifizieren – beides entscheidet über die reale Ausnutzbarkeit:
# ASLR muss auf 2 stehen (volle Randomisierung)
sysctl kernel.randomize_va_space
# Alle effektiv geladenen Rewrite-Regeln auflisten
sudo nginx -T 2>/dev/null | grep -E "rewrite|if \(\\quot; -n
# Worker-Crashes & 502/504 im Errorlog beobachten
sudo tail -f /var/log/nginx/error.log | grep -Ei "worker process|signal"Sofortmaßnahme im Detail: Patch + ASLR
Diese Schrittfolge bringt verwundbare NGINX-Hosts in unter 10 Minuten in einen sicheren Zustand – distributionsübergreifend, mit Verifikation nach jedem Schritt.
Patch einspielen
Vor jedem Update die NGINX-Konfiguration sichern, anschließend über den Paketmanager aktualisieren und den Dienst per Graceful-Reload neu laden.
# 1.1 Backup der NGINX-Konfiguration
sudo tar -czf /root/nginx-backup-$(date +%F).tgz /etc/nginx
# 1.2 Update einspielen (je nach Distribution)
# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade nginx
# RHEL / Rocky / AlmaLinux
sudo dnf upgrade --refresh nginx
# Alpine
sudo apk update && sudo apk upgrade nginx
# Container
docker pull nginx:stable && docker compose up -d --force-recreate
# 1.3 Verifikation – Version muss > 1.30.0 sein
nginx -v
# 1.4 Konfiguration testen & sauber neu laden
sudo nginx -t && sudo systemctl reload nginxASLR aktivieren & persistent machen
ASLR (Address Space Layout Randomization) randomisiert Speicheradressen und macht Heap-Overflow-Exploits ungleich schwerer. Der Wert 2 ist Pflicht – alles andere senkt die Hürde für RCE drastisch.
# 2.1 Aktuellen Status prüfen
sysctl kernel.randomize_va_space
# 2.2 Sofort aktivieren (zur Laufzeit)
sudo sysctl -w kernel.randomize_va_space=2
# 2.3 Persistent über sysctl.d setzen
echo 'kernel.randomize_va_space = 2' | sudo tee /etc/sysctl.d/99-aslr.conf
# 2.4 Alle sysctl-Konfigurationen neu laden
sudo sysctl --systemHärtung verifizieren
Nach Patch und ASLR-Aktivierung beide Maßnahmen explizit gegenprüfen – am besten als Schritt im Change-Ticket dokumentieren.
# 3.1 ASLR-Status – Ausgabe muss exakt "2" sein
cat /proc/sys/kernel/randomize_va_space
# 3.2 Geladene NGINX-Module & Compile-Flags
nginx -V 2>&1 | tr ' ' '\n' | grep -E 'with-|module'
# 3.3 Sanity-Check: HTTP-Header & Server-Token
curl -I http://127.0.0.1/ | grep -i '^server:'
# 3.4 Optional: Worker-Restart-Counter beobachten
sudo journalctl -u nginx -n 50 --no-pagerContainer & Kubernetes: ASLR ist Eigenschaft des Host-Kernels, nicht des Containers. Der Hypervisor- bzw. Node-Host muss korrekt konfiguriert sein – im Pod selbst lässt sich der Wert nicht überschreiben.
Ingress-Controller: Nach dem Image-Update einen Rolling-Restart der Ingress-NGINX-Pods auslösen (kubectl rollout restart deploy/ingress-nginx-controller -n ingress-nginx).
Hardened Distros: grsecurity, Talos und Bottlerocket haben ASLR werkseitig auf 2 – hier reicht die Verifikation aus Schritt 3.
Hinweis: Patchen auf eigene Gefahr
Die hier gezeigten Befehle und Konfigurationen werden auf eigenes Risiko ausgeführt. Ein falscher Befehl kann Systeme destabilisieren, Daten beschädigen oder Dienste unerreichbar machen. Wenn ihr unsicher seid, was ihr tut, kontaktiert lieber einen erfahrenen Administrator oder unsere Wasacon-Experten – wir helfen schnell und professionell.
Was Administratoren jetzt tun sollten
F5 und weitere Anbieter stellen bereits Sicherheitsupdates und Hinweise bereit. Systeme sollten schnellstmöglich aktualisiert werden. Konkrete Sofortmaßnahmen:
- NGINX-Version prüfen (`nginx -v`) – betroffen: 0.6.27 – 1.30.0
- Sicherheitsupdates von F5 / Distribution sofort einspielen
- ASLR auf allen Hosts aktiv halten (`kernel.randomize_va_space = 2`)
- Rewrite-Regeln auditieren – ungenutzte Regeln entfernen
- Worker-Crashes & ungewöhnliche 502/504 im Monitoring beobachten
- WAF-Regeln gegen verdächtige Rewrite-Payloads aktivieren
- Externe Angriffsfläche minimieren (kein direktes Admin-Frontend ins Netz)
- Logs auf Honeypot-typische Scan-Pattern prüfen
- Container-Images neu bauen und ausrollen
- Notfallplan für DoS-Vorfälle aktualisieren
Fazit: Jahrzehntealte Bugs in kritischer Infrastruktur
Die neue NGINX-Lücke CVE-2026-42945 zeigt erneut, wie gefährlich jahrzehntealte Bugs in kritischer Infrastruktur werden können. Besonders problematisch ist die bereits beobachtete aktive Ausnutzung im Internet. Selbst wenn keine vollständige Remote-Code-Ausführung gelingt, können Angreifer Dienste destabilisieren oder weitere Angriffe vorbereiten.
Wer NGINX produktiv einsetzt, sollte jetzt handeln – bevor Scanner und Exploit-Kits flächendeckend auftauchen.
Verwandte Begriffe
Häufige Fragen
Wer überwacht eigentlich Ihre Webserver?
Wasacon härtet NGINX-Frontends, Reverse-Proxys und Kubernetes-Ingress für Unternehmen im Kreis Heinsberg – inklusive 24/7-EDR/XDR-Monitoring, Patch-Management und Schwachstellen-Scanning. Damit aus einer öffentlichen CVE kein produktiver Vorfall wird.
Mehr zu kritischen CVEs & Server-Sicherheit
Weitere Analysen zu aktuellen Schwachstellen in kritischer Infrastruktur:
Diskussion
0 Beiträge
IT-Budget Quick-Check
Wie viel sollte Ihr Unternehmen jährlich in IT investieren?
Risiko-Level: Mittel · Multiplikator: 1.2×
Richtwerte auf Basis von BSI/NIST/ENISA-Branchenbenchmarks. Keine verbindliche Empfehlung.
Das könnte Sie auch interessieren
IT-Sicherheitpm-energy gehackt? Qilin listet „Die Solarexperten“ aus Reesdorf im Darknet
Seit dem 9. August 2026 führt die Ransomware-Gruppe Qilin die pm-energy GmbH aus Reesdorf (Schleswig-Holstein) auf ihrer Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum Photovoltaik-Projektdaten besonders sensibel sind.
IT-SicherheitClausing Tiefbau gehackt? Qilin listet Osnabrücker Infrastruktur-Spezialisten im Darknet
Seit dem 8. August 2026 führt die Ransomware-Gruppe Qilin die Clausing GmbH Tiefbauunternehmen aus Osnabrück auf ihrer Darknet-Leak-Seite. Was belegt ist, was Täterbehauptung bleibt – und warum die digitalisierten Bauprozesse den Fall brisant machen.
IT-SicherheitThe Gentlemen listet INKA Group: Hinter der unscheinbaren Münchner Immobilienholding steckt ein weit größeres Firmengeflecht
Seit dem 7. August 2026 führt die Ransomware-Gruppe The Gentlemen die Münchner INKA Group GmbH & Co. KG als mutmaßliches Opfer. Register- und Konzerndaten zeigen ein verzweigtes Immobiliennetz – bis hin zur Hasen-Immobilien AG mit 230,5 Mio. € Bilanzsumme.
Haftungsausschluss: Die auf Wasacon bereitgestellten Inhalte dienen nur zu Informationszwecken. Wir garantieren nicht die Qualität, Genauigkeit oder Vollständigkeit der Informationen aus Drittquellen.
Sind Zugangsdaten Ihres Unternehmens bereits im Umlauf?
Wir prüfen Ihre Domain kostenlos gegen bekannte Infostealer- und Leak-Datenbanken – vertraulich und unverbindlich.
Bekannt aus
