F5 Networks secara resmi telah menggulirkan tambalan keamanan untuk kerentanan berstatus Kritis pada peladen web Nginx. Celah keamanan yang dilacak sebagai CVE-2026-42533 (Skor CVSS v4: 9.2) ini memungkinkan aktor ancaman jarak jauh yang tidak diautentikasi untuk memicu Heap Buffer Overflow pada proses pekerja (worker process) peladen hanya dengan mengirimkan permintaan HTTP yang dimanipulasi.

Celah ini tidak hanya mengancam satu versi, melainkan berdampak pada seluruh versi Nginx dari 0.9.6 hingga 1.31.2—sebuah rentang waktu yang merentang mundur hingga tahun 2011. Pembaruan perbaikan telah tersedia pada Nginx 1.30.4 (Stabil), 1.31.3 (Mainline), dan NGINX Plus 37.0.3.1 per 15 Juli lalu.

Baca Juga: AS Bentuk Konsorsium Keamanan Siber dan AI Bersama Raksasa Teknologi, Tetapkan Standar Tata Kelola Global

Dari sudut pandang teknis, kerentanan ini berakar pada mesin skrip Nginx, secara spesifik saat mengevaluasi konfigurasi yang menggunakan modul map berbasis Regular Expression (Regex) secara bersamaan dengan variabel tangkapan (capture variable) dari proses pencocokan sebelumnya.

Mesin skrip Nginx menggunakan evaluasi dua lintasan (two-pass evaluation):

1. Lintasan Pengukuran: Mengukur berapa banyak bita (bytes) memori yang dibutuhkan dan mengalokasikan ukuran buffer.
2. Lintasan Penulisan: Menuliskan data ke dalam buffer tersebut.

Kelemahan terjadi karena variabel map dievaluasi di antara kedua lintasan ini, menimpa ukuran memori yang dibagikan. Akibatnya, lintasan pengukuran mengalokasikan ruang memori yang kecil, namun lintasan penulisan memasukkan muatan buatan peretas yang berukuran jauh lebih besar, menyebabkan buffer overflow.

Dalam rilis resminya, F5 menyatakan kerentanan ini berujung pada penolakan layanan (Denial of Service / DoS) karena membuat worker process mogok (crash). F5 mencatat bahwa Eksekusi Kode Jarak Jauh (RCE) hanya mungkin terjadi jika sistem keamanan pelindung memori (ASLR) dinonaktifkan di sistem operasi peladen.

Namun, asumsi ini dibantah keras oleh peneliti keamanan Stan Shaw (cyberstan), salah satu penemu kerentanan ini. Analisis Shaw membuktikan bahwa kelemahan pemotongan memori ini dapat dijalankan secara terbalik untuk membocorkan data heap yang tidak diinisialisasi. Pada peladen Ubuntu 24.04 standar, sebuah perintah GET sederhana dari peretas mampu membocorkan alamat memori yang dibutuhkan untuk membypass ASLR secara mandiri. Ini menjadikan RCE sangat mungkin dilakukan pada sistem dengan konfigurasi standar yang tidak diubah.

Merespons kerentanan ini, F5 menyarankan mitigasi sementara dengan mengubah penggunaan regex maps menjadi named captures. Namun, Shaw memperingatkan bahwa mitigasi vendor ini tidak sepenuhnya menutup celah. Terdapat jalur kode kedua (second code path) yang terkonfirmasi masih rentan terhadap teknik limpahan memori (overflow) meski mitigasi telah diterapkan.

Kerentanan ini juga dikonfirmasi memengaruhi berbagai produk turunan F5 yang merupakan komponen krusial pada infrastruktur awan, termasuk:

• NGINX Ingress Controller (Kritis untuk ekosistem Kubernetes)
• NGINX Gateway Fabric
• F5 NGINX App Protect WAF
• NGINX Instance Manager

Kerentanan Nginx ini adalah alarm merah bagi arsitektur keamanan cloud-native. Mengingat ini adalah kerentanan limpahan memori heap ketiga di dalam mesin skrip Nginx yang diungkapkan hanya dalam kurun waktu dua bulan terakhir (menyusul kerentanan "Rift" CVE-2026-42945 dan CVE-2026-9256), ada pola kelemahan fundamental pada desain dua lintasan Nginx.

Analisis Taktis untuk Infrastruktur Korporat:

1. Bahaya di Garis Depan (Edge Network): Nginx dan NGINX Ingress Controller umumnya ditempatkan di lapisan terluar jaringan (Reverse Proxy / Load Balancer). Celah RCE tanpa otentikasi di lapisan ini memungkinkan peretas untuk mengambil alih gerbang utama korporasi Anda dan masuk ke jaringan internal (lateral movement) tanpa menyentuh firewall aplikasi inti.
2. Solusi Penambalan Absolut: Jangan membuang waktu teknisi Anda untuk melakukan konfigurasi ulang mitigasi menggunakan named captures seperti saran awal F5, karena mitigasi tersebut terbukti cacat. Instruksikan tim DevSecOps Anda untuk segera memperbarui basis kode ke versi 1.30.4 atau 1.31.3.
3. Waktu Anda Tinggal 15 Hari: Peneliti Stan Shaw telah mengumumkan akan merilis Kode Eksploitasi Konsep (Proof-of-Concept / PoC) kepada publik 21 hari pasca-tambalan dirilis. Dengan patch keluar pada 15 Juli, para peretas secara global akan memiliki senjata siap pakai pada minggu pertama Agustus 2026.

Mengingat kompleksitas arsitektur peladen dan Ingress Controller modern, memastikan infrastruktur Edge Anda tidak rentan terhadap serangan manipulasi memori adalah prioritas mutlak. Mengandalkan tambalan vendor semata tidak cukup jika kerentanan struktural tidak divalidasi. Uji dan pastikan ketahanan perimeter web dan klaster Kubernetes perusahaan Anda melalui simulasi Red Teaming dan Vulnerability Assessment terarah bersama Fourtrezz.