Veröffentlicht am 31.07.2026
Ein einziger, nicht authentifizierter HTTP-Request kann ausreichen, um einen NGINX-Webserver zum Absturz zu bringen – oder schlimmer: um beliebigen Schadcode auf dem Server auszuführen. Genau das ermöglicht CVE-2026-42533, eine kritische Sicherheitslücke im weltweit meistgenutzten Webserver. Seit dem 28. Juli 2026 existiert ein öffentlicher, voll funktionsfähiger Exploit, der die Speicherverwürfelung (ASLR) des Systems umgeht und zuverlässig Remote Code Execution erzielt. Wer NGINX betreibt, sollte jetzt handeln.
Am 15. Juli 2026 veröffentlichte F5, der Hersteller hinter NGINX, das Sicherheits-Advisory K000162097 und stellte Patches für eine kritische Schwachstelle bereit. Sie trägt die Kennung CVE-2026-42533 und erhielt in der offiziellen CVE-Datenbank NVD einen CVSS-v4.0-Score von 9,2 (Critical) – einer der höchsten überhaupt möglichen Werte.
Der Kern des Problems: Ein Heap-Buffer-Overflow – also ein Fehler, bei dem mehr Daten in einen reservierten Speicherbereich geschrieben werden, als dieser fassen kann, wodurch angrenzender Speicher überschrieben wird. Entdeckt wurde die Lücke vom Sicherheitsforscher Stan Shaw (bekannt als „cyberstan"), der sie am 17. Mai 2026 verantwortungsvoll an das F5 Security Incident Response Team meldete – inklusive vollständigem Nachweis, dass sich daraus Remote Code Execution erzielen lässt.
Besonders brisant: Am 28. Juli 2026, nur 13 Tage nach dem Patch, veröffentlichte das Team „DepthFirstDisclosures" einen kompletten Exploit-Chain-PoC (Proof-of-Concept, also einen funktionierenden Machbarkeitsnachweis) auf GitHub. Damit steht der Angriffscode jedem zur Verfügung. Zum Stand unserer Recherche am 31. Juli 2026 ist zwar noch keine aktive Ausnutzung „in freier Wildbahn" bestätigt und die Lücke nicht im CISA-KEV-Katalog gelistet – die Gefahr ist durch den öffentlichen PoC jedoch als hoch einzustufen.
Um zu verstehen, warum diese Lücke so heikel ist, hilft ein Blick auf die Funktionsweise von NGINX. Der Webserver setzt zusammengesetzte Zeichenketten – etwa in Direktiven wie proxy_set_header, add_header oder return – in einem Zwei-Pass-Verfahren zusammen:
Beide Durchläufe lesen dabei aus demselben Speicherbereich, der die Ergebnisse von Regex-Gruppen enthält (den sogenannten Captures, also den Treffern regulärer Ausdrücke wie $1, $2). Das Problem entsteht, wenn eine map-Direktive mit regulärem Ausdruck zwischen diesen beiden Durchläufen diese Captures überschreibt: Der LEN-Pass hat den Puffer für den ursprünglichen, kleineren Wert reserviert – der VALUE-Pass schreibt dann jedoch den längeren, vom Angreifer kontrollierten Wert hinein. Das Ergebnis ist ein Out-of-Bounds-Write, also ein Schreibzugriff über die Puffergrenze hinaus.
Der Fehler funktioniert auch umgekehrt: Ist der überschriebene Wert kleiner als der ursprüngliche, bleibt ein zu großer Puffer mit uninitialisiertem Speicherinhalt zurück – und dieser wird in der Serverantwort zurückgegeben. So gelangen Angreifer an interne Speicheradressen und können die Schutzmaßnahme ASLR (Address Space Layout Randomization, die zufällige Anordnung von Speicherbereichen) aushebeln.
Genau darauf weist Entdecker Stan Shaw eindringlich hin:
„Ein Leser des F5-Advisories könnte vernünftigerweise schließen, dass dies auf Standardsystemen nur ein DoS ist. Ist es nicht. Der Fehler liefert den Bypass selbst mit. […] Auf einem Standard-Ubuntu-24.04-Build stellt ein einziger unauthentifizierter GET-Request die Adressen wieder her, die ein Payload braucht. Getestet mit 10 von 10 Zuverlässigkeit auf Ubuntu 24.04 mit glibc 2.39 und voll aktiviertem ASLR." – Stan Shaw, The Hacker News
Der PoC von DepthFirstDisclosures kombiniert drei Schritte: Zuerst wird über ein Speicherleck die Bas