В NGINX обнаружена критическая уязвимость CVE-2026-42945, которая позволяла удаленно выполнять код на сервере. Проблема получила 9,2 балла по шкале CVSS и затрагивает все версии веб-сервера от 0.6.27 до 1.30.0.

Уязвимость существовала в коде около 18 лет, ее нашли исследователи из компании DepthFirst AI. Она связана с ошибкой обработки определенных HTTP-запросов, что позволяет злоумышленнику выполнить произвольные команды без авторизации.

Это означает, что атаке подвержены миллионы серверов по всему миру, так как NGINX используется в качестве обратного прокси и веб-сервера на большинстве крупных сайтов. Проблема актуальна для всех операционных систем, включая Linux и FreeBSD.

Разработчики уже выпустили патч в версии 1.30.1, всем администраторам настоятельно рекомендуют обновиться как можно скорее. В противном случае серверы остаются полностью открытыми для атак с удаленным выполнением кода.