F5 Rilis Patch Darurat untuk Tambal Tiga Kerentanan Kritis pada Web Server NGINX
Perusahaan teknologi jaringan dan keamanan siber F5 telah merilis patch keamanan darurat di luar jadwal reguler (out-of-band) untuk menambal sejumlah celah keamanan pada web server NGINX. Perbaikan ini mencakup tiga kerentanan berstatus kritis (critical-severity) yang dapat dimanfaatkan oleh peretas untuk mengeksekusi kode berbahaya pada sistem yang rentan.
Ketiga celah keamanan kritis tersebut ditemukan pada modul HTTP/3 ngx_http_v3_module (CVE-2026-15176 dan CVE-2026-97205) serta pada direktif peta atau map directive NGINX (CVE-2026-93479).
Penyerang jarak jauh tanpa hak akses khusus (unprivileged remote attackers) dapat mengeksploitasi celah-celah ini untuk melancarkan serangan Denial-of-Service (DoS) atau mendapatkan kemampuan eksekusi kode pada sistem NGINX yang menggunakan konfigurasi non-standar (non-default configurations).
Eksploitasi yang berhasil terhadap kerentanan ini akan memicu kondisi heap-based buffer overflow atau use-after-free di dalam proses pekerja (worker process) NGINX, yang berujung pada crash atau mulainya ulang layanan secara paksa. Lebih berbahaya lagi, F5 memperingatkan bahwa penyerang juga berpeluang mengeksekusi kode arbitrer pada sistem yang menonaktifkan fitur Address Space Layout Randomization (ASLR), atau ketika penyerang berhasil melewati (bypass) proteksi ASLR tersebut.
Produk Terdampak dan Langkah Mitigasi Sementara
F5 telah menyediakan pembaruan keamanan untuk berbagai lini produk perangkat lunak NGINX yang terdampak oleh celah ini, meliputi:
- NGINX Plus
- NGINX Open Source
- NGINX Ingress Controller
- NGINX Gateway Fabric
- NGINX Instance Manager
Bagi tim keamanan dan administrator sistem yang belum dapat langsung menerapkan patch pembaruan ini, F5 membagikan sejumlah langkah mitigasi sementara melalui penyesuaian konfigurasi:
- Mitigasi CVE-2026-15176: Hindari penggunaan direktif
aliasdi dalam bloklocationatau jangan gunakan variabel$request_filename. - Mitigasi CVE-2026-97205: Nonaktifkan fitur asynchronous file I/O (AIO) atau matikan Server Side Includes (SSI).
- Mitigasi CVE-2026-93479: Gunakan named captures alih-alih unnamed captures, serta batasi penggunaannya hanya pada blok yang memiliki pencocokan ekspresi reguler (regex match).
Riwayat Penargetan Produk F5 oleh Kelompok Peretas
Meskipun F5 menyatakan bahwa ketiga kerentanan NGINX ini belum terpantau dieksploitasi secara aktif di alam liar (in the wild), para administrator tetap diminta waspada. Pasalnya, kelompok penjahat siber maupun aktor ancaman yang disponsori negara (nation-state) sangat sering mengincar celah keamanan pada ekosistem produk F5 dalam beberapa tahun terakhir.
Berbagai celah keamanan F5 sebelumnya kerap disalahgunakan peretas untuk menembus jaringan korporat, memetakan server internal, membajak perangkat, menyebarkan malware penghapus data (data-wiping), hingga mencuri dokumen sensitif dari berbagai organisasi di seluruh dunia. Sejak November 2021, Badan Keamanan Siber dan Infrastruktur AS (CISA) tercatat telah memasukkan delapan kerentanan produk F5 ke dalam daftar celah yang dieksploitasi secara aktif, di mana empat di antaranya juga disalahgunakan dalam operasi serangan ransomware.
Setahun yang lalu, tepatnya pada Oktober 2025, F5 juga sempat mengungkapkan insiden keamanan internal di mana kelompok peretas yang didukung negara berhasil membobol sistem mereka pada Agustus 2025 dan mencuri kode sumber (source code) beserta informasi mengenai kerentanan keamanan BIG-IP yang kala itu belum dipublikasikan. Saat ini, F5 sendiri tercatat melayani lebih dari 23.000 pelanggan global, termasuk 80% dari daftar perusahaan Fortune Global 500.
Sumber: F5 Security Advisory
