CVE-2026-42945 : une seule requête HTTP fait tomber NGINX

Que fait concrètement cette faille NGINX ?

Le module de réécriture d’URL traite une requête forgée sans vérifier correctement les bornes de son tampon. Résultat immédiat : le processus worker meurt. Répétez la requête, et le serveur ne sert plus rien : déni de service, sans authentification et sans volume d’attaque particulier.

Sur les systèmes où l’ASLR est désactivé, l’exploitation ne s’arrête pas au crash : une preuve de concept fonctionnelle démontrant l’exécution de code à distance circulait déjà publiquement au moment de l’exploitation en masse.

Pourquoi une faille est-elle restée dix-huit ans dans le code ?

La faille a été introduite en 2008 et personne ne l’a vue jusqu’en 2026. C’est un rappel utile quand on raisonne en « logiciel mature donc sûr » : l’ancienneté d’un composant ne dit rien de sa sûreté, elle dit seulement depuis combien de temps il n’a pas été relu sur ce point précis.

Et parce que le motif de configuration vulnérable est répandu, la population exposée est énorme : toute instance NGINX joignable depuis Internet et utilisant ce motif de réécriture.

Qu’est-ce que ça change dans votre modèle de menace ?

Ici, la faille n’est pas dans votre application. Elle est dans le serveur web lui-même, sous Magento, sous WordPress, sous votre API maison, sous tout ce que vous exposez.

Autrement dit : un plan de sécurité qui ne regarde que le CMS passe à côté. La couche qui reçoit la requête compte autant que celle qui la traite.

Que faire dès aujourd’hui ?

Mettez NGINX à jour. C’est la seule vraie correction : une faille dans le serveur web se corrige dans le serveur web.

Vérifiez au passage que l’ASLR est bien actif sur vos hôtes. C’est la différence entre « mon serveur redémarre » et « quelqu’un exécute du code chez moi ».

Inventoriez : les instances oubliées (préproduction, ancien sous-domaine, boîtier d’un prestataire) sont celles qui restent vulnérables le plus longtemps.