F5 merilis pembaruan keamanan untuk NGINX Open Source. Patch ini menutup dua celah kritis yang bisa berdampak serius pada sistem.

Dua celah tersebut adalah CVE-2026-42530 dan CVE-2026-42055. Keduanya memiliki skor CVSS v4 9.2. Karena itu, celah ini perlu segera diperhatikan oleh tim IT dan security.

Masalah ini penting karena NGINX banyak dipakai sebagai web server, reverse proxy, dan komponen cloud. Jika celah ini tidak ditangani, risiko serangan bisa meningkat.

Apa Risiko Utamanya?

Risiko utama dari dua celah ini adalah gangguan layanan dan kemungkinan eksekusi kode jarak jauh. Dengan kata lain, penyerang bisa mengganggu proses NGINX dari jarak jauh.

Namun, eksploitasi tidak terjadi pada semua konfigurasi. Celah ini muncul pada kondisi tertentu. Jadi, perusahaan perlu mengecek versi dan konfigurasi NGINX yang digunakan.

Selain itu, celah seperti ini harus ditangani cepat. Sistem yang terbuka ke internet biasanya lebih mudah ditemukan oleh penyerang.

CVE-2026-42530: Celah pada HTTP/3 QUIC

CVE-2026-42530 adalah celah use-after-free pada modul ngx_http_v3_module. Modul ini berhubungan dengan HTTP/3 dan QUIC.

Celah ini dapat dipicu oleh penyerang jarak jauh tanpa autentikasi. Namun, NGINX harus memakai konfigurasi HTTP/3 QUIC yang terdampak.

Jika berhasil dieksploitasi, celah ini bisa membuat proses worker NGINX bermasalah. Dalam kondisi tertentu, celah ini juga dapat membuka peluang eksekusi kode.

Sebagai langkah mitigasi, F5 menyarankan untuk menonaktifkan HTTP/3. Langkah ini dapat membantu mengurangi risiko sebelum patch diterapkan.

CVE-2026-42055: Celah pada HTTP/2 Proxy dan gRPC

CVE-2026-42055 adalah celah heap-based buffer overflow. Celah ini ada pada modul ngx_http_proxy_v2_module dan ngx_http_grpc_module.

Risiko muncul saat NGINX dipakai untuk proxy traffic HTTP/2 atau gRPC. Selain itu, konfigurasi tertentu juga harus aktif.

Contohnya adalah penggunaan proxy_http_version 2 atau grpc_pass. Risiko juga meningkat jika ignore_invalid_headers diatur ke off dan ukuran large_client_header_buffers lebih dari 2 MB.

Karena itu, tim IT perlu mengecek konfigurasi NGINX dengan teliti. Jika konfigurasi tersebut ditemukan, segera lakukan perbaikan.

Versi yang Perlu Diperbarui

F5 sudah menyediakan versi perbaikan untuk produk yang terdampak. Untuk NGINX Open Source, versi 1.31.0 dan 1.31.1 terdampak oleh CVE-2026-42530.

Sementara itu, CVE-2026-42055 berdampak pada NGINX Open Source 1.31.1 dan versi 1.30.0 sampai 1.30.2. Versi perbaikannya adalah 1.31.2 dan 1.30.3.

Selain NGINX Open Source, beberapa produk terkait juga terdampak. Contohnya adalah NGINX Plus, NGINX Gateway Fabric, NGINX Instance Manager, dan NGINX Ingress Controller.

Oleh karena itu, perusahaan perlu memeriksa semua komponen NGINX yang digunakan. Jangan hanya memeriksa web server utama.

Langkah Mitigasi yang Disarankan

Langkah terbaik adalah melakukan update ke versi yang sudah diperbaiki. Namun, jika patch belum bisa langsung diterapkan, mitigasi sementara perlu dilakukan.

Untuk CVE-2026-42530, nonaktifkan HTTP/3. Ini penting jika organisasi belum benar-benar membutuhkan HTTP/3.

Untuk CVE-2026-42055, hapus konfigurasi ignore_invalid_headers off. Selain itu, kurangi ukuran large_client_header_buffers agar berada di bawah 2 MB.

Setelah itu, lakukan restart atau reload layanan sesuai prosedur. Pastikan konfigurasi baru sudah aktif.

Mengapa Tim IT Perlu Bergerak Cepat?

The Hacker News menyebutkan bahwa F5 tidak menyatakan adanya eksploitasi aktif untuk dua celah ini. Namun, celah pada produk F5 dan NGINX sebelumnya pernah cepat dimanfaatkan oleh penyerang.

Karena itu, menunda patch bisa meningkatkan risiko. Apalagi jika NGINX digunakan pada sistem publik, API gateway, atau layanan produksi.

Selain itu, penyerang sering memantau celah baru. Setelah detail teknis tersedia, percobaan eksploitasi biasanya bisa muncul lebih cepat.

Kesimpulan

Dua celah NGINX ini perlu mendapat perhatian serius. Dampaknya bisa berupa gangguan layanan dan kemungkinan eksekusi kode jarak jauh.

Langkah paling aman adalah segera memperbarui NGINX ke versi yang sudah diperbaiki. Selain itu, cek konfigurasi HTTP/3, HTTP/2 proxy, gRPC, dan buffer header.

Pada akhirnya, patching cepat dan konfigurasi yang aman adalah kunci. Dengan langkah ini, perusahaan bisa mengurangi risiko sebelum celah dimanfaatkan oleh penyerang.

Source: https://thehackernews.com/2026/06/f5-patches-two-critical-nginx-open.html