Veröffentlicht am 02.08.2026
Ein einziger manipulierter Aufruf – und Ihr Webserver kann abstürzen oder von einem Angreifer vollständig übernommen werden, ganz ohne Passwort, ohne Anmeldung, allein über das Internet. Genau das ermöglicht CVE-2026-42533, eine kritische Sicherheitslücke im weltweit meistgenutzten Webserver NGINX. Das Besonders Beunruhigende: Der Fehler steckt seit über 15 Jahren im Code – seit dem 21. März 2011 – und betrifft damit die überwältigende Mehrheit aller produktiven NGINX-Installationen. Seit dem 28. Juli 2026 kursiert zudem ein vollständiger, öffentlich verfügbarer Angriffs-Code (Proof-of-Concept). Wer NGINX selbst betreibt, sollte jetzt handeln.
Am 15. Juli 2026 veröffentlichte der Hersteller F5 einen außerplanmäßigen Sicherheitspatch (einen sogenannten Out-of-Band-Patch – also ein Notfall-Update außerhalb des regulären Zeitplans) für CVE-2026-42533. Die Schwachstelle betrifft sowohl NGINX Open Source (die kostenlose Version) als auch NGINX Plus (die kommerzielle Variante) und trägt einen CVSS-Score von 9.2 von 10 – also die Einstufung „kritisch".
Es handelt sich um einen sogenannten Heap-Buffer-Overflow – vereinfacht gesagt einen Fehler, bei dem ein Programm mehr Daten in einen Speicherbereich schreibt, als dieser fassen kann, wodurch angrenzender Speicher überschrieben wird. Ein Angreifer kann diesen Fehler ausnutzen, um entweder den Webserver zum Absturz zu bringen (Denial-of-Service, also Dienstverweigerung) oder – im schlimmeren Fall – eigenen Schadcode auf dem Server auszuführen (Remote Code Execution, kurz RCE).
Der Entdecker der Lücke, der Sicherheitsforscher Stan Shaw, meldete die Schwachstelle am 17. Mai 2026 an F5 – mitsamt einer vollständigen Analyse und funktionierenden Angriffs-Beispielen. F5 bestätigte den Eingang bereits einen Tag später und arbeitete gemeinsam mit dem NGINX-Engineering-Team an einer Lösung.
Der Fehler steckt in der sogenannten Script-Engine von NGINX, dem Teil der Software, der dynamische Werte in der Konfiguration verarbeitet. Diese Engine arbeitet in zwei Schritten: Im ersten Durchlauf (dem „LEN-Durchlauf") misst sie, wie viel Speicher benötigt wird. Im zweiten Durchlauf (dem „VALUE-Durchlauf") schreibt sie die eigentlichen Daten in den zuvor reservierten Speicher.
Das Problem entsteht bei einer bestimmten Kombination: Wird die sogenannte map-Direktive (ein Konfigurationsbefehl, der Werte anhand von Regeln zuordnet) mit regulären Ausdrücken (Textmustern) und sogenannten Capture-Variablen wie $1 oder $2 verwendet, ändert sich der gemeinsam genutzte Speicherzustand zwischen den beiden Durchläufen. Konkret: Der Messdurchlauf reserviert Platz für den ursprünglichen Wert – aber der Schreibdurchlauf schreibt einen manipulierten, vom Angreifer kontrollierten Wert hinein. Das Ergebnis ist ein Speicherüberlauf mit Inhalt und Länge, die der Angreifer vollständig bestimmt.
Besonders gefährlich: Der Mechanismus funktioniert auch umgekehrt. Ist der manipulierte Wert kleiner, wird ein zu großer Speicherbereich reserviert. Dessen nicht bereinigter Rest enthält Überbleibsel aus dem Speicher – darunter interne Zeiger, die eine Schutztechnik namens ASLR (Address Space Layout Randomization, eine zufällige Anordnung von Speicheradressen zur Abwehr von Angriffen) aushebeln.
Genau hier liegt die zentrale Warnung des Entdeckers. Stan Shaw stellte gegenüber The Hacker News klar:
„Ein Leser des F5-Advisories könnte vernünftigerweise schließen, dass dies auf Standard-Systemen nur ein DoS-Problem ist. Das ist es nicht. Dieser Bug erfordert nicht, dass ASLR deaktiviert ist. Die Information-Leak-Technik umgeht sie in einer einzigen GET-Anfrage. Das Upgrade auf 1.30.4 / 1.31.3 ist die einzige vollständige Lösung."
Shaw demonstrierte, dass sich beide Effekte zu einer zuverlässigen, unauthentifizierten Remote Code Execution verketten lassen – getestet mit einer Zuverlässigkeit von 10 von 10 auf Ubuntu 24.04 mit aktiviertem ASLR. Insgesamt sind mindestens 13 unabhängige Stellen in 9 Quelldateien betroffen, was die Reichweite der Lücke erheblich vergrößert.
Betroffen sind alle NGINX-Versionen von 0.9.6 bis einschließlich 1.31.2 – ein Zeitraum von über 15 Jahren. Um die Dimension einzuordnen:
Wichtig zur Einordnung: Nicht jede NGINX-Installation ist automatisch angreifbar. Direkt verwundbar sind nur Instanzen, die map-Direktiven mit regulären Ausdrücken in Kombination mit Capture-Variablen verwenden. Ob das bei Ihnen der Fall ist, sollten Sie dennoch unbedingt prüfen – denn die Kombination ist in vielen realen Konfigurationen durchaus üblich.
nginx -v oder nginx -V aus. Liegt die Version zwischen 0.9.6 und 1.31.2, ist die Software potenziell verwundbar./etc/nginx/) nach map-Direktiven mit regulären Ausdrücken. Befehl: grep -r 'map' /etc/nginx/ | grep -E '~|~*'$1, $2 oder benannte Captures) aus einer Regex-Location als auch Ausgabevariablen einer Regex-Map verwendet werden. Diese Kombination macht eine Installation verwundbar.github.com/0xCyberstan/CVE-2026-42533-Config-Scanner. Dieser analysiert Ihre Konfigurationsdateien, folgt Include-Direktiven und erkennt problematische Kombinationen.Patches sind seit dem 15. Juli 2026 verfügbar. Handeln Sie in dieser Reihenfolge:
$1, $2) in map-Direktiven durch benannte Captures ((?P<name>...)) und verwenden Sie diese nur innerhalb desselben Blocks, in dem der Regex-Match stattfindet. Verwenden Sie benannte Captures nicht in verschiedenen Direktiven wieder. Achtung: Diese Maßnahme schließt laut Stan Shaw nur den Hauptpfad – ein schmalerer Angriffsweg über benannte Captures bleibt offen. Nur das Update ist ein vollständiger Schutz.Zum Stand der Recherche am 2. August 2026 ist CVE-2026-42533 noch nicht im CISA-KEV-Katalog (der Liste bekannter, aktiv ausgenutzter Schwachstellen der US-Cyberbehörde) gelistet, und es sind keine bestätigten Angriffe in freier Wildbahn gemeldet. Entwarnung ist das jedoch nicht.
Denn seit dem 28. Juli 2026 ist ein vollständiger Proof-of-Concept-Exploit öffentlich auf GitHub verfügbar. Und der Präzedenzfall spricht eine deutliche Sprache: Die vergleichbare Schwachstelle CVE-2026-42945 („NGINX Rift", ebenfalls CVSS 9.2) wurde nur drei Tage nach Veröffentlichung ihres PoC aktiv ausgenutzt. CVE-2026-42533 gilt sogar als technisch gefährlicher, weil es die ASLR-Schutztechnik eigenständig aushebelt.
Der Sicherheitsanbieter Beazley Security bringt es auf den Punkt:
„F5 hat bislang keine aktive Ausnutzung bestätigt. Obwohl noch keine Angriffe gemeldet wurden, sind Schwachstellen der Kategorie Speicherkorruption in der Vergangenheit regelmäßig nach ihrer Offenlegung als Waffe eingesetzt worden. Beazley Security empfiehlt betroffenen Organisationen, verfügbare Fixes so schnell wie möglich einzuspielen."
Für Website-Betreiber in Deutschland hat diese Lücke eine erhebliche datenschutzrechtliche Dimension. Eine erfolgreiche Ausnutzung kann Angreifern Zugriff auf sämtliche auf dem Server verarbeiteten personenbezogenen Daten verschaffen – Kundendaten, Kontaktformular-Einträge, Bestelldaten, E-Mail-Adressen.
Kommt es tatsächlich zu einem solchen Datenzugriff, greift die Meldepflicht nach Art. 33 DSGVO: Innerhalb von 72 Stunden muss die zuständige Datenschutzaufsichtsbehörde informiert werden. Wichtig zur Klarstellung: Nicht die bloße Existenz der Schwachstelle, sondern erst eine tatsächliche Ausnutzung mit Datenzugriff löst diese Pflicht aus. Bei hohem Risiko müssen zusätzlich nach Art. 34 DSGVO auch die betroffenen Personen benachrichtigt werden.
Hinzu kommt: Die Art. 25 und 32 DSGVO verpflichten Verantwortliche ohnehin zu angemessenen technischen und organisatorischen Schutzmaßnahmen. Ein bekanntes, gepatchtes Sicherheitsloch nicht zu schließen, kann als Verstoß gewertet werden. Bußgelder nach Art. 83 DSGVO können bis zu 10 Mio. Euro oder 2 % des weltweiten Jahresumsatzes betragen – in schwerwiegenderen Fällen bis zu 20 Mio. Euro oder 4 %. Für KMU fallen diese proportional geringer aus, können aber dennoch existenzbedrohend sein. Zur Einordnung der Kosten: Der IBM Cost of a Data Breach Report 2026 beziffert die durchschnittlichen Kosten einer Datenpanne auf 4,99 Millionen US-Dollar.
CVE-2026-42533 zählt zu den kritischsten NGINX-Schwachstellen seit Jahren: eine über 15 Jahre alte Lücke, kein Passwort nötig, über das Internet ausnutzbar, mit der Fähigkeit, sogar den ASLR-Schutz eigenständig zu umgehen – und seit dem 28. Juli 2026 mit öffentlich verfügbarem Angriffs-Code. Dass bislang keine aktive Ausnutzung bekannt ist, sollte niemand als Grund zum Abwarten missverstehen. Der Präzedenzfall NGINX Rift zeigt, dass sich das binnen weniger Tage ändern kann.
Die gute Nachricht: Der Patch ist da, und die einzige vollständige Lösung ist denkbar einfach – das Update auf NGINX 1.30.4 beziehungsweise 1.31.3. Wer NGINX selbst betreibt, sollte diesen Schritt jetzt gehen. Wer sein Hosting an einen Dienstleister ausgelagert hat, sollte kurz nachfragen, ob dort bereits gepatcht wurde. Ein kurzer Aufwand heute erspart potenziell einen Serverausfall, eine vollständige Kompromittierung und eine meldepflichtige Datenpanne morgen.