⚠️ Схоже, цей тиждень знову пройде під знаком оновлень: у NGINX піднялися одразу дві критичні вразливості з CVSS 9.2. І так, вони дають шанс на remote code execution без логіну, якщо співпадуть певні налаштування 😅Я помітив, що перша дира стосується HTTP/3 QUIC (ngxhttpv3module): якщо ви його вмикали, зловмисник може зловити use-after-free й спробувати виконати код, особливо якщо ASLR вимкнений. Друга — про HTTP/2-проксі (proxyhttpversion 2 / grpcpass), ігнорування невалідних заголовків і дуже великі largeclientheader_buffers 🧩F5 вже викотили патчі: для NGINX Open Source варто йти на 1.31.2 (mainline) або 1.30.3 (stable), Plus — на 37.0.2.1 / R36 P6, оновити Ingress Controller / Gateway Fabric, якщо у вас Kubernetes ☁️ Якщо апдейт не виходить прямо зараз — відключаємо HTTP/3, прибираємо ignoreinvalidheaders off і зменшуємо буфери менше 2 МБ 🛡️Мені здається, це хороший привід зробити міні-аудит конфігу саме зараз, особливо якщо ваш NGINX стоїть на вході в кластер чи корпоративну мережу. А ви вже дивилися, чи не крутиться у вас десь HTTP/3/HTTP‑2 з «тюненими» хедерами? 🤔🔗 Докладніше:https://cybersecurefox.com/uk/krytychni-vrazlyvosti-nginx-f5-cve-2026-42530-42055#безпека #nginx #devops #kubernetes #cve #оновленняCyberSecureFox