CVE-2026-42945: Kritische NGINX-RCE aktiv ausgenutzt – jetzt patchen

Eine kritische Sicherheitslücke im weltweit meistgenutzten Webserver wird seit Wochen aktiv von Angreifern ausgenutzt – und ein funktionsfähiger Angriffscode liegt frei auf GitHub. Betroffen ist NGINX, die Software, die nach aktuellen Zahlen rund 31 bis 34 Prozent aller Websites weltweit ausliefert. Die Schwachstelle mit der Kennung CVE-2026-42945, bekannt geworden unter dem Namen „NGINX Rift", ermöglicht es Angreifern im schlimmsten Fall, ohne jede Anmeldung Schadcode auf Ihrem Server auszuführen – und im günstigeren Fall Ihren Webserver mit einfachen Anfragen zum Absturz zu bringen. Wenn Sie eine Website betreiben, sollten Sie jetzt handeln.

Was ist passiert?

Am 13. Mai 2026 wurde eine kritische Schwachstelle in NGINX öffentlich bekannt gegeben. Das Besondere: Der Fehler steckt seit 18 Jahren unentdeckt im Quellcode – seit der NGINX-Version 0.6.27 aus dem Jahr 2008. Damit sind faktisch alle NGINX-Installationen der letzten anderthalb Jahrzehnte potenziell betroffen.

Entdeckt wurde die Lücke im April 2026 durch ein KI-gestütztes Analysesystem des Sicherheitsunternehmens DepthFirst, das den NGINX-Quellcode in nur sechs Stunden durchleuchtete. Gemeinsam mit F5, dem Hersteller der kommerziellen Variante NGINX Plus, erfolgte am 13. Mai die koordinierte Offenlegung – begleitet von einem sofort veröffentlichten, funktionsfähigen Angriffscode (einem sogenannten Proof-of-Concept-Exploit, also einem Beispiel-Programm, das die Lücke praktisch ausnutzt) auf GitHub.

Und die Angreifer waren schnell: Bereits vier bis fünf Tage später, ab dem 17./18. Mai 2026, bestätigten sogenannte Honeypots (absichtlich verwundbar aufgestellte Lockserver zur Beobachtung von Angriffen) des Anbieters VulnCheck die aktive Ausnutzung in freier Wildbahn.

„Wir sehen aktive Ausnutzung von CVE-2026-42945 in F5 NGINX, ein Heap-Buffer-Overflow, der sowohl NGINX Plus als auch NGINX Open Source betrifft – auf unseren VulnCheck Canaries, nur wenige Tage nachdem die CVE veröffentlicht wurde." – Patrick Garrity, VulnCheck

Am 27. Juni 2026 warnte auch die US-Finanzaufsicht FINRA ihre Mitgliedsunternehmen in einem eigenen Cyber Alert – mit dem Hinweis, dass die Zahl der betroffenen Firmen wächst.

Der technische Hintergrund – verständlich erklärt

Die Schwachstelle ist ein sogenannter Heap-Buffer-Overflow – ein Speicherüberlauf. Vereinfacht gesagt: Das Programm reserviert einen Speicherbereich einer bestimmten Größe, schreibt dann aber mehr Daten hinein, als hineinpassen. Der überschüssige Teil landet in benachbartem Speicher – und wenn ein Angreifer diesen Überlauf gezielt steuern kann, lässt sich das Verhalten des Servers manipulieren.

Der Fehler steckt im ngx_http_rewrite_module – einem Standardbestandteil jedes NGINX-Builds, der für das Umschreiben von Webadressen zuständig ist (etwa um schöne URLs wie /produkt/123 intern in /produkt.php?id=123 zu übersetzen). Das Problem entsteht durch eine Ungenauigkeit in der zweistufigen Speicherberechnung: Beim ersten Durchlauf berechnet NGINX die benötigte Puffergröße ohne die URL-Codierung, beim zweiten Durchlauf (dem tatsächlichen Kopieren) ist die Codierung aber aktiv. Zeichen wie +, % und & werden dabei von einem Byte auf drei Bytes aufgebläht – und passen nicht mehr in den zu klein berechneten Puffer. Das Ergebnis ist ein vom Angreifer kontrollierter Speicherüberlauf.

„Der Fehler ist ohne Authentifizierung aus dem öffentlichen Internet erreichbar. Speziell gestaltete HTTP-Anfragen lösen einen deterministischen Heap-Overflow aus. Das Ergebnis ist Remote Code Execution im NGINX-Worker-Prozess. Es gibt keinen Authentifizierungsschritt, keine Voraussetzung eines vorherigen Zugriffs und keine bestehende Sitzung." – DepthFirst, Entdecker der Schwachstelle

Nicht jede NGINX-Installation ist verwundbar

Wichtig zur Einordnung: Die Lücke lässt sich nur ausnutzen, wenn Ihre NGINX-Konfiguration ein ganz bestimmtes Muster enthält. Alle drei folgenden Bedingungen müssen gleichzeitig zutreffen:

1. eine rewrite-Direktive mit einem unbenannten PCRE-Capture (also einem Platzhalter wie $1 oder $2, der einen Teil der URL herausgreift),
2. ein Fragezeichen (?) im Ersetzungsstring,
3. und ein nachfolgendes rewrite-, if- oder set-Direktiv im selben Konfigurationsblock.

Was harmlos klingt, ist in der Praxis leider weit verbreitet: Dieses Muster findet sich häufig in WordPress-Permalinks, in PHP-Front-Controller-Konfigurationen und in API-Gateway-Setups.

RCE oder „nur" Absturz? Das entscheidet ASLR

Wie schlimm die Ausnutzung ist, hängt von einer Schutzmaßnahme namens ASLR (Address Space Layout Randomization – eine Technik, die die Speicheradressen bei jedem Programmstart zufällig verwürfelt und damit Angriffe erschwert) ab:

• Ohne ASLR (etwa auf älteren Servern oder bestimmten Container-Konfigurationen): Ein unauthentifizierter Angreifer kann beliebigen Code ausführen – die vollständige Fernübernahme (Remote Code Execution, RCE).
• Mit ASLR (Standard auf modernen Linux-Distributionen): Eine zuverlässige Codeausführung ist deutlich schwieriger. Aber: Der Denial-of-Service-Absturz – also das gezielte Lahmlegen des Webservers durch wiederholte Anfragen – ist auf allen betroffenen Systemen trivial machbar.

Der Sicherheitsforscher Kevin Beaumont ordnet ein:

„Es hängt von einer spezifischen NGINX-Konfiguration ab, damit man verwundbar ist, und ein Angreifer muss die Konfiguration kennen oder herausfinden, um sie auszunutzen. Um RCE zu erreichen, muss außerdem ASLR auf dem System deaktiviert worden sein." – Kevin Beaumont (GossiTheDog)

Ein zusätzliches Problem: Die Forscher von XM Cyber weisen darauf hin, dass NGINX' Mehr-Prozess-Architektur einen immer gleichen Speicheraufbau nutzt. Stürzt ein Worker-Prozess ab, startet der Master-Prozess einen neuen mit identischem Speicher-Layout – was Angreifern ein „sicheres" Ausprobieren gegen ASLR erlaubt.

Wer ist betroffen?

Betroffen sind laut Hersteller folgende Produkte und Versionen:

• NGINX Open Source: Versionen 0.6.27 bis 1.30.0
• NGINX Plus: Versionen R32 bis R36
• NGINX App Protect sowie zahlreiche weitere NGINX-Produkte

Da NGINX rund ein Drittel aller Websites weltweit ausliefert und über 4,6 Millionen Unternehmen die Software einsetzen, ist die Verbreitung enorm – auch bei deutschen kleinen und mittleren Unternehmen. Huseyin Can Yuceel von Picus Security bringt es auf den Punkt:

„NGINX betreibt fast ein Drittel aller Websites weltweit. Es wird von Hyperscale-Cloud-Anbietern, Content Delivery Networks, E-Commerce-Plattformen, Banken, Behörden und unzähligen kleinen Unternehmen eingesetzt. Ein einziger Fehler in dieser Schicht kann unzählige Backend-Systeme freilegen, die eigentlich sicher dahinter liegen." – Huseyin Can Yuceel, Picus Security

So prüfen Sie, ob Sie betroffen sind

Wenn Sie oder Ihr Administrator Zugriff auf den Server haben, gehen Sie diese Schritte durch:

1. NGINX-Version prüfen: Führen Sie nginx -v oder nginx -V in der Kommandozeile aus. Liegt die Version zwischen 0.6.27 und 1.30.0 (Open Source) bzw. R32 bis R36 (Plus), ist das System potenziell betroffen.
2. Konfiguration auf verwundbare Muster prüfen: Mit dem Befehl sudo grep -RnE 'rewrite[[:space:]].*\$[0-9].*\?' /etc/nginx finden Sie rewrite-Direktiven, die einen unbenannten Platzhalter mit einem Fragezeichen kombinieren.
3. Auf nachfolgende Direktiven prüfen: Überprüfen Sie jeden Treffer manuell: Folgt im selben location-Block ein weiteres rewrite-, if- oder set-Direktiv? Wenn ja, ist diese Konfiguration ausnutzbar.
4. ASLR-Status prüfen: cat /proc/sys/kernel/randomize_va_space – der Wert sollte 2 sein (vollständiges ASLR). Der Wert 0 bedeutet ASLR deaktiviert und erhöhtes RCE-Risiko.
5. Container und eingebettete Instanzen prüfen: Docker-Container und Kubernetes-Ingress-Controller enthalten oft eigene NGINX-Binärdateien, die durch ein normales System-Update nicht aktualisiert werden. Prüfen mit: docker exec <container_id> nginx -v
6. Drittanbieter-Produkte prüfen: Nutzen eingesetzte Appliances, CDN-Knoten oder API-Gateways intern NGINX? Fragen Sie beim jeweiligen Hersteller nach.
7. Kostenloser Online-Scanner: Pentest-Tools.com bietet einen kostenlosen CVE-2026-42945-Scanner an, der die NGINX-Version Ihrer öffentlich erreichbaren Instanz prüft.

Das müssen Sie jetzt tun

Die gute Nachricht: Patches sind bereits verfügbar. Angesichts von aktiver Ausnutzung, öffentlichem Angriffscode und breiter Verbreitung ist eine Notfall-Reaktion angebracht. Gehen Sie so vor:

1. Sofort patchen (höchste Priorität): Aktualisieren Sie NGINX auf eine gepatchte Version – NGINX Open Source auf 1.30.1 (Stable) oder 1.31.0 (Mainline), NGINX Plus auf R36 P4, R35 P2 oder R32 P6. Für Debian/Ubuntu: sudo apt update && sudo apt upgrade nginx. Für RHEL/CentOS/AlmaLinux: sudo dnf upgrade nginx. Danach zwingend neustarten: sudo systemctl restart nginx, damit die neuen Binärdateien geladen werden. Version prüfen mit nginx -v.
2. Öffentlich erreichbare Server zuerst: Priorisieren Sie internet-exponierte Webserver, API-Gateways und Reverse-Proxies – das sind die primären Angriffsziele.
3. Temporäre Konfigurationsmaßnahme (wenn ein sofortiger Patch nicht möglich ist): Ersetzen Sie alle unbenannten Platzhalter durch benannte Captures. Verwundbar: rewrite ^/users/([0-9]+)/$ /user.php?id=$1; – Gesichert: rewrite ^/users/(?<uid>[0-9]+)/$ /user.php?id=$uid; Danach mit sudo nginx -t prüfen und mit sudo systemctl reload nginx neu laden. Wichtig: Das ersetzt den Patch nicht.
4. WAF-Regeln aktivieren: Eine Web Application Firewall (ein Filter, der schädliche HTTP-Anfragen blockiert) kann ungewöhnlich codierte URIs abfangen – ebenfalls nur als Übergangslösung.
5. Monitoring einrichten: Überwachen Sie die Fehlerprotokolle auf unerwartete Worker-Abstürze: sudo journalctl -u nginx -f | grep -i 'worker process'. Häufige Abstürze können auf Angriffsversuche hindeuten.
6. ASLR sicherstellen: echo 2 | sudo tee /proc/sys/kernel/randomize_va_space. Dauerhaft: echo 'kernel.randomize_va_space=2' | sudo tee -a /etc/sysctl.conf && sudo sysctl -p
7. Worker mit minimalen Rechten betreiben: Prüfen Sie in /etc/nginx/nginx.conf, dass die Worker unter einem unprivilegierten Benutzer (Standard: www-data oder nginx) laufen.
8. Container-Images aktualisieren: Ein apt upgrade nginx auf dem Host erreicht keine in Containern eingebetteten NGINX-Binärdateien – aktualisieren Sie Docker-Images und Ingress-Controller separat.
9. Auch die weiteren Lücken patchen: Am 18. Juni 2026 hat F5 Patches für zwei weitere kritische NGINX-Schwachstellen veröffentlicht – CVE-2026-42530 und CVE-2026-42055 (bisher nicht aktiv ausgenutzt). Spielen Sie diese ebenfalls ein.
10. Dokumentation und Meldepflicht prüfen: Bei Hinweisen auf eine erfolgreiche Ausnutzung (unerklärliche Datenzugriffe, unbekannte Prozesse) prüfen Sie unverzüglich die DSGVO-Meldepflicht und ziehen Sie gegebenenfalls einen IT-Sicherheitsdienstleister hinzu.

Die AlmaLinux-Verantwortlichen fassen die Dringlichkeit treffend zusammen:

„Die Umwandlung des Heap-Overflows in zuverlässige Codeausführung ist in der Standardkonfiguration nicht trivial, und auf Systemen mit aktiviertem ASLR erwarten wir keinen einfachen, generischen Exploit. Aber ‚nicht einfach' ist nicht ‚unmöglich', und der Worker-Crash-DoS ist für sich genommen ausnutzbar genug, dass wir empfehlen, dies als dringend zu behandeln." – Jonathan Wright, AlmaLinux

Einordnung und DSGVO: Warum das für deutsche KMU heikel ist

Eine erfolgreiche Ausnutzung kann Angreifern Zugang zu den Daten verschaffen, die Ihr NGINX-Server verarbeitet oder weiterleitet – je nach Konfiguration also Kundendaten, Formulardaten oder Session-Tokens. Damit rückt die DSGVO-Meldepflicht nach Art. 33 in den Blick: Sobald Sie Kenntnis von einer Datenschutzverletzung erlangen, die ein Risiko für die Betroffenen darstellt, müssen Sie diese innerhalb von 72 Stunden bei Ihrer zuständigen Datenschutzbehörde melden. Bei hohem Risiko sind zusätzlich die betroffenen Personen zu benachrichtigen (Art. 34 DSGVO).

Wichtig auch für einen reinen DoS-Angriff: Wenn durch den Serverausfall personenbezogene Daten nicht mehr verfügbar sind und das ein Risiko darstellt, kann auch dies meldepflichtig sein.

Besonders relevant ist der Haftungsaspekt: Wer verfügbare Patches nicht zeitnah einspielt, riskiert den Vorwurf mangelnder technischer und organisatorischer Maßnahmen (TOMs) nach Art. 32 DSGVO. Die Bußgeldrahmen reichen bis zu 10 Mio. EUR bzw. 2 % des weltweiten Jahresumsatzes (Art. 83 Abs. 4) beziehungsweise bis zu 20 Mio. EUR bzw. 4 % (Art. 83 Abs. 5). Zur Einordnung: Die durchschnittlichen Kosten einer Datenpanne in Deutschland lagen 2024 laut IBM bei 4,9 Mio. EUR, und deutsche Datenschutzbehörden verhängten allein 2025 insgesamt 249 Bußgelder in Höhe von fast 47 Mio. EUR – das höchste einzelne bei rund 45 Mio. EUR (Vodafone Deutschland). Deutschland meldet europaweit die meisten Datenpannen: über 77.000 seit Mai 2018.

Praktischer Tipp: Nutzen Sie diese Schwachstelle als Anlass, Ihre NGINX-Konfiguration zu überprüfen und die durchgeführten Maßnahmen zu dokumentieren. Das dient zugleich als Nachweis der Erfüllung Ihrer TOM-Pflichten nach Art. 32 DSGVO.

Fazit

CVE-2026-42945 („NGINX Rift") ist eine kritische Schwachstelle mit einem CVSS-Score von 9.2 (v4.0) beziehungsweise 9.8 (v3.1) – eine der höchsten Bewertungsstufen überhaupt. Sie steckt seit 18 Jahren im Code, betrifft einen der weltweit meistgenutzten Webserver, wird nachweislich aktiv ausgenutzt, und ein funktionsfähiger Angriffscode ist frei verfügbar. Für die Mehrheit der KMU mit modernen Linux-Servern und aktiviertem ASLR ist das unmittelbare Übernahme-Risiko zwar moderat – das Absturz-Risiko und damit die Gefahr von Geschäftsunterbrechungen ist jedoch auf allen betroffenen Systemen real.

Die Handlungsanweisung ist eindeutig: Prüfen Sie jetzt Ihre NGINX-Version und -Konfiguration – und spielen Sie den verfügbaren Patch ein. Vergessen Sie dabei Container und Ingress-Controller nicht, die sich einem normalen System-Update entziehen. Wer zögert, riskiert nicht nur einen Ausfall oder Einbruch, sondern im Ernstfall auch empfindliche DSGVO-Konsequenzen.