據外媒 10 月 19 日報導，應用程式交付與資安業者 F5 針對網頁伺服器 NGINX 發布非例行（out-of-band）安全修補，處理多項漏洞。其中三項屬重大（critical）等級，遠端攻擊者可能藉此在目標系統上執行程式碼。F5 目前尚未將這些漏洞標示為已遭實際利用。
兩個模組與一項指令出現漏洞
三項重大漏洞的編號為
CVE-2026-15176、CVE-2026-97205 與
CVE-2026-93479。前兩項位於 ngx_http_v3_module 模組，第三項出在 NGINX 的 map 指令（directive）。
外媒指出，攻擊者無須取得權限，即可從遠端利用這些漏洞發動阻斷服務（DoS）攻擊，或在採用非預設組態的 NGINX 系統上取得程式碼執行能力。
記憶體破壞導致工作程序當機
成功利用漏洞，會在 NGINX 的工作程序（worker process）中引發堆積緩衝區溢位（heap-based buffer overflow）或釋放後使用（use-after-free）錯誤，造成程序當機或重新啟動。
要進一步執行程式碼，條件較為嚴格。F5 表示，攻擊者須在位址空間配置隨機化（ASLR）遭停用，或能繞過該機制的情況下，才可能在系統上執行程式碼。不符合這些條件時，漏洞造成的影響主要是工作程序當機或重新啟動，進而讓服務中斷。
五項 NGINX 產品需要更新
F5 已針對受影響的產品釋出修補，包括 NGINX Plus、NGINX Open Source、NGINX Ingress Controller、NGINX Gateway Fabric 與 NGINX Instance Manager。使用這些產品的企業，應先確認自身環境是否在更新範圍內。F5 已就三項漏洞分別公布安全公告，管理人員可參考原廠說明，了解各項漏洞的細節。
F5 產品長期是攻擊目標
F5 是財星 500 大（Fortune 500）企業，提供資安與應用程式交付網路（ADN）服務，客戶逾 2 萬 3000 家，涵蓋八成財星全球 500 大企業。外媒指出，近年來網路犯罪與國家級駭客組織經常利用 F5 產品的漏洞。
美國網路安全暨基礎設施安全局（CISA）自 2021 年 11 月以來，已將八項 F5 漏洞列為遭實際利用，其中四項也曾被用於勒索軟體攻擊。2025 年 10 月，F5 也揭露，具國家背景的駭客在當年 8 月入侵其系統，竊取原始碼，以及尚未公開的 BIG-IP 漏洞資訊。
雖然這次的漏洞尚未被標示為遭實際利用，但從過往紀錄來看，管理人員宜盡快安排更新作業。
無法立即更新時的暫行措施
無法立即安裝修補的資安團隊與管理人員，可依漏洞採取下列緩解作法。這些作法對應的是各漏洞涉及的功能或設定，採用前宜先確認環境是否使用相關項目：
- CVE-2026-15176：不在 location 區塊中使用 alias 指令，也不使用 $request_filename 變數
- CVE-2026-97205：停用非同步檔案 I/O（AIO）或伺服器端包含（SSI）
- CVE-2026-93479：改用具名擷取（named capture）取代未具名擷取，並將其使用範圍限縮於含有正規表示式比對的區塊
本文參考 BleepingComputer 報導編譯。