Vulnerabilidade de 15 Anos no Nginx Permite Remote Code Execution — CVSS 9.8

O que é a CVE-2026-42533

Uma vulnerabilidade crítica classificada com CVSS 9.8 foi descoberta no Nginx, o servidor web mais popular do mundo. A CVE-2026-42533 permite Remote Code Execution (RCE) através de requests HTTP/2 maliciosos, afectando directamente milhões de servidores em todo o mundo.

A vulnerabilidade afecta as versões 1.25.1 a 1.27.4 do Nginx open-source e as versões 5.0.0 a 7.2.1 do NGINX Plus. O patch está disponível nas versões 1.28.1 e 1.27.5.

Como funciona o ataque

O ataque explora uma vulnerabilidade no processamento de frames HTTP/2. Um atacante pode enviar um request especialmente concebido que causa um buffer overflow no worker do Nginx. Isto permite:

• Execução de código arbitrário no servidor
• Acesso a dados sensíveis armazenados no sistema
• Comprometimento total do servidor
• Uso do servidor como pivot para ataques laterais

O vector de ataque é remoto e não requer autenticação, o que torna a vulnerabilidade extremamente perigosa. Um atacante pode explorá-la apenas conhecendo o endereço IP do servidor alvo.

Uma vulnerabilidade de 15 anos

O factor mais surpreendente desta vulnerabilidade é a sua antiguidade. A CVE original CVE-2022-41741 foi descoberta em 2022, mas o vector de ataque via HTTP/2 permaneceu activo durante mais de uma década. Isto significa que, mesmo após o patch inicial de 2022, milhões de servidores continuaram vulneráveis sem que ninguém detectasse o problema.

A vulnerabilidade passou despercebida em múltiplas auditorias de segurança ao longo dos anos, levantando questões sobre a eficácia dos processos de revisão de código em projectos de código aberto críticos.

Quem está afectado

Com aproximadamente 34% de market share no servidor web, o Nginx é utilizado por:

• Empresas de todos os portes
• Cloud providers como AWS, Google Cloud e Azure
• CDNs como Cloudflare e Akamai
• Governos e instituições públicas
• Plataformas de e-commerce e SaaS

A gravidade é tal que qualquer organização que utilize uma das versões afectadas deve considerar a actualização como prioridade máxima.

O que fazer agora

• Verificar a versão actual: executar nginx -v para confirmar a versão em uso
• Actualizar para nginx 1.28.1 ou 1.27.5: as versões corrigidas estão disponíveis para download
• Verificar NGINX Plus: se utilizar a versão comercial, actualizar para a versão corrigida
• Contactar o provedor de cloud: muitos providers aplicam patches automaticamente, mas é necessário confirmar
• Monitorizar logs: estar atento a requests suspeitas nos logs de acesso

Conclusão

A CVE-2026-42533 demonstra que vulnerabilidades críticas podem permanecer escondidas durante anos mesmo em projectos amplamente utilizados e auditados. A actualização imediata para as versões corrigidas é a única acção efectiva para proteger servidores afectados.