Selon Génération NT, F5 a publié le 15 juillet une mise à jour cruciale pour corriger une vulnérabilité NGINX critique, CVE-2026-42533, présente dans le moteur de script depuis la version 0.9.6. Pour les équipes PHP, ce n’est pas le genre d’alerte qu’on classe dans le dossier « infra, on verra lundi »: NGINX est souvent notre première ligne, le reverse proxy devant PHP-FPM, les APIs et les frontaux applicatifs.
Bref: sous le capot, les vieux morceaux de configuration méritent une vraie séance de refacto — pas juste un redéploiement optimiste.
Une requête HTTP peut-elle vraiment suffire?
D’après Génération NT, CVE-2026-42533 peut être déclenchée par un attaquant non authentifié et conduire à un déni de service, voire à une exécution de code à distance. La faille est notée 9,2 en CVSS v4 et concernerait les versions NGINX Open Source de 0.9.6 à 1.31.2, ainsi que NGINX Plus de R33 à 37.0.2.1.
Le mécanisme décrit est très NGINX, très regex, très legacy: le moteur évalue une expression en deux passes, l’une pour calculer la taille d’un tampon, l’autre pour écrire les données. Entre les deux, des captures associées à des directives map peuvent être modifiées par une autre regex. Résultat: la mémoire est allouée pour une taille, puis remplie selon une autre. Boom, débordement de tampon sur le tas.
Le chercheur Stan Shaw, cité par le média, indique également qu’une requête non authentifiée peut révéler des adresses mémoire et contourner l’ASLR. C’est précisément le type de détail qui transforme un « potentiel DoS » en sujet prioritaire pour une équipe d’exploitation.
Et « NGINX Rift » dans tout ça?
Tech Insider décrit CVE-2026-42945 comme une vulnérabilité distincte, rendue publique le 13 mai et activement exploitée peu après. Elle se trouverait dans ngx_http_rewrite_module, la brique qui exécute les réécritures d’URL — oui, celle qu’on empile parfois avec des règles héritées de trois migrations CMS et deux changements de domaine…
La configuration concernée associerait des directives rewrite, if ou set, des captures PCRE non nommées comme $1 ou $2, et une chaîne de remplacement contenant un point d’interrogation. Là encore, le problème viendrait d’un écart entre la taille anticipée du tampon et ce qui est réellement écrit, avec à la clé un crash de worker NGINX ou, dans le pire scénario évoqué par la source, une exécution de code à distance.
Tech Insider rapporte aussi deux autres CVE critiques corrigées hors cycle par F5 le 18 juin. Les références et les scénarios ne doivent pas être mélangés: on parle de vulnérabilités différentes, mais le signal collectif est limpide. Une config NGINX vieillissante n’est pas un artefact décoratif.
Qu’est-ce qu’on vérifie avant de toucher au code PHP?
On commence par identifier les versions réellement déployées — conteneurs, VM, images de base, environnements de préproduction inclus. Ensuite, on vérifie l’application des mises à jour publiées par F5 pour les branches concernées. Pas de « je crois que l’image Docker est récente »: on regarde ce qui tourne, point.
Côté configuration, les fichiers qui combinent map, regex et captures méritent une lecture attentive. Même réflexe pour les règles rewrite complexes, surtout si elles manipulent des paramètres d’URL. Ce n’est pas glamour, mais c’est plus utile qu’un énième débat sur le dernier framework hype.
Enfin, gardons un œil sur la publication annoncée d’un proof of concept complet pour CVE-2026-42533. Quand une brique aussi omniprésente devient une cible documentée, le délai entre divulgation et bruit sur les logs se réduit très vite. À nous de faire en sorte que la prochaine urgence ne commence pas par: « qui a encore cette conf de 2011? »