F5 NGINX Open Source · Código de ataque público

PoC divulgada: use-after-free no módulo HTTP/3 do NGINX (CVE-2026-42530)

28 de out. de 2026 · 1 min de leitura

Uma prova de conceito foi divulgada para o CVE-2026-42530, um use-after-free no módulo ngx_http_v3_module do NGINX Open Source, da F5. Segundo o aviso, um atacante remoto sem autenticação pode causar a reinicialização do processo worker e executar código em sistemas com ASLR desativado; a falha exige o módulo HTTP/3 QUIC habilitado. As fontes não citam versão corrigida, então quem usa HTTP/3 no NGINX deve acompanhar o aviso do fornecedor.

Por Redação HIFY Radar Atualizado 28/10/2026 06:32 Receba isso todo dia →← Voltar ao feed 1 fonte

AltaFalhaCódigo de ataque públicoCorreção a confirmar

Neste artigo

O que aconteceu
Por que importa
O que fazer
Para o time técnico
Linha do tempo
Fontes

O que aconteceu

Uma prova de conceito foi divulgada para o CVE-2026-42530, um use-after-free no módulo HTTP/3 do NGINX Open Source, produto da F5. A falha só se aplica a instalações com o módulo HTTP/3 QUIC habilitado e depende de condições fora do controle do atacante. Com a PoC em circulação, o risco aumenta para quem usa essa configuração.

Por que importa

Segundo o aviso, um atacante remoto sem autenticação pode provocar a reinicialização do processo worker do NGINX, afetando a disponibilidade de serviços web. Em sistemas com ASLR desativado, ou quando o atacante consegue burlar o ASLR, a execução de código é possível, o que pode comprometer o servidor.

O que fazer

Levantar onde o NGINX Open Source roda com o módulo HTTP/3 QUIC (ngx_http_v3_module) habilitado, priorizando servidores expostos à internet. Acompanhar o aviso da F5 e aplicar a correção assim que for publicada. Como as fontes não citam correção, avaliar desabilitar o HTTP/3 QUIC nas instâncias afetadas até existir patch.

Para o time técnico

CVE: CVE-2026-42530
Afetados: F5 NGINX Open Source (ngx_http_v3_module, HTTP/3 sobre QUIC) · NGINX Open Source (F5) configurado para usar o módulo HTTP/3 QUIC. A fonte não lista versões específicas; versões em fim de suporte técnico (EoTS) não foram avaliadas.
Exploração: PoC/exploit divulgada, conforme o feed dbugs (@ptdbugs, aviso PT-2026-50439). As fontes não relatam exploração na prática nem presença no KEV.
Correção: As fontes não citam versões corrigidas, patch ou mitigação oficial.
Vetor: Use-after-free no módulo ngx_http_v3_module. Atacante remoto e sem autenticação usa uma sessão HTTP/3 especialmente criada para reabrir o fluxo do encoder QPACK. Pré-condições: módulo HTTP/3 QUIC habilitado no NGINX e condições fora do controle do atacante.
Mais detalhes: O use-after-free ocorre no processo worker do NGINX e leva à reinicialização. A execução de código é possível adicionalmente em sistemas com ASLR desativado ou quando o atacante consegue burlar o ASLR. Incidente aberto em 28/10/2026. ID do aviso no dbugs: PT-2026-50439.