F5, kritik NGINX güvenlik açıkları için acil yamanlar yayımladı

F5, NGINX web sunucusundaki birden fazla güvenlik açığını gidermek amacıyla acil güvenlik yamaları yayımladı. Bu yamalar, saldırganların savunmasız sistemlerde kod çalıştırmalarına olanak tanıyan üç kritik dereceli güvenlik açığını kapsıyor. Bu açıklar, ngx_http_v3_module (CVE-2026-15176 ve CVE-2026-97205) ile NGINX harita direktifinde (CVE-2026-93479) tespit edildi.

Kritik güvenlik açıkları, yetkisiz uzaktan saldırganlar tarafından kullanılabilir ve bu da hizmet reddi (DoS) saldırılarına neden olabilir veya NGINX sistemlerinde kod çalıştırılmasına yol açabilir. Başarılı bir saldırı, NGINX işçi sürecinde yığın tabanlı bir bellek taşması veya kullanımdan sonra serbest bırakma (use-after-free) hatalarına neden olarak sistemlerin çökmesine veya yeniden başlatılmasına yol açmaktadır. Ancak, saldırganlar, Address Space Layout Randomization (ASLR) devre dışı bırakıldığında veya ASLR’yi atlatabildiklerinde sistemlerde kod çalıştırma yeteneğine de sahip olabilirler.

F5, bu iki güvenlik açığından etkilenen birçok NGINX yazılım ürünü için güvenlik yamaları yayımladı. Bu ürünler arasında NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric ve NGINX Instance Manager yer alıyor.

Güvenlik ekipleri ve yöneticiler, bu güvenlik yamalarını hemen yükleyemiyorlarsa, CVE-2026-15176 için bir konum bloğunda 'alias' direktifini veya $request_filename değişkenini kullanmamayı, CVE-2026-97205 için ise asenkron dosya girişi (AIO) veya Sunucu Tarafı İçerikleri (SSI) devre dışı bırakmayı düşünebilirler. Ayrıca, CVE-2026-93479'u, isimsiz yakalamalar yerine isimli yakalamalar kullanarak ve bunların kullanımını regex eşleşmesi olan blokla sınırlayarak azaltmak mümkün.

F5, bu güvenlik sorunlarını henüz açık bir şekilde kötüye kullanıldığını belirtmemiş olsa da, son yıllarda siber suç ve devlet destekli tehdit gruplarının F5 ürünlerindeki güvenlik açıklarını sıkça hedef aldığı biliniyor. Örneğin, saldırganlar F5 güvenlik açıklarını kullanarak kurumsal ağlara sızmakta, iç sunucuları haritalamakta, cihazları ele geçirmek, veri silme kötü amaçlı yazılımları dağıtmak ve dünya genelindeki kurbanlardan hassas belgeleri çalmak için bu açıkları kullanmaktadır.

Kasım 2021'den bu yana, ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), sekiz F5 güvenlik açığını aktif olarak kötüye kullanıldığını belirtmiştir. Bu açıkların dördü ise fidye yazılımı saldırılarında da kötüye kullanılmıştır. Bir yıl önce, Ekim 2025'te, F5 ayrıca devlet destekli tehdit aktörlerinin Ağustos 2025'te sistemlerine sızarak kaynak kodu ve açıklanmayan BIG-IP güvenlik açıkları hakkında bilgi çaldığını duyurmuştu.

F5, 23.000'den fazla müşteriye siber güvenlik, uygulama teslim ağı (ADN) ve diğer hizmetleri sunan bir Fortune 500 teknoloji şirketidir. Bu müşteriler arasında Fortune Global 500'ün %80'i ve Fortune 50 şirketlerinin 48'i bulunmaktadır.

Saldırganlar geçerli kimlik bilgilerine sahip olduklarında, yalnızca %37'lik bir kısmı engellenmektedir. Genel önleme puanları, başlangıç erişiminden sonraki durumu gizleyebilir. Saldırganlar geçerli kimlik bilgilerini kullandığında, önleme oranı keskin bir şekilde düşmektedir. Blue Report 2026, müşteri üretim ortamlarında gerçekleştirilen 338 milyon simülasyon üzerinden savunma tekniklerini ölçmektedir.