CVE-2026-90439

NGINX ngx_http_v3_module vulnerability

CVSS 3.1Medium

6.5/ 10.0

Опубликовано

15 сентября 2026 г.

Обновлено

16 сентября 2026 г.

В атаках

Не зафиксировано

Публичный PoC

Отсутствует

Анализ подготовлен:CVE Futuretools Threat Intelligence

Верификация: MITRE CVE List · CISA KEV · NIST NVD

ПАТЧ ДОСТУПЕН: ВЕРСИЯ 37.1.1.2, 37.0.6.2, 1.31.6, 1.30.5

Обновите сборку NGINX и используйте версию OpenSSL старше 3.5.0 либо скорректируйте параметры TLS для HTTP/3.

01 // ТЕХНИЧЕСКАЯ СУТЬ УЯЗВИМОСТИ

Ограниченное переполнение буфера в куче в модуле ngx_http_v3_module для NGINX.

02 // АНАТОМИЯ АТАКИ И ДЕФЕКТ ЛОГИКИ

При использовании протокола HTTP/3 в связке с OpenSSL <= 3.5.0 во время обработки TLS handshake в определенных конфигурациях возникает переполнение буфера в куче.

03 // СИСТЕМНЫЕ ПОСЛЕДСТВИЯ

DoS-состояние из-за аварийного завершения и перезапуска рабочего процесса NGINX worker либо частичное повреждение данных в памяти.

04 // МАТРИЦА ЗАТРОНУТЫХ ПАКЕТОВ

F5NGINX Plus

>= 37.1.0.1➔Fix: 37.1.1.2

F5NGINX Plus

>= 37.0.0.1➔Fix: 37.0.6.2

F5NGINX Open Source

>= 1.29.2➔Fix: 1.31.6

F5NGINX Open Source

>= 1.30.4➔Fix: 1.30.5

05 // ПЕРВОИСТОЧНИКИ И БЮЛЛЕТЕНИ (1)

my.f5.comhttps://my.f5.com/manage/s/article/K000162604

06 // ЦИТИРОВАНИЕ ДАННЫХ И ИСТОЧНИК

Для включения аналитической карточки в отчёты по безопасности, матрицы рисков или исследовательские публикации используйте стандартизированный формат цитирования:

Библиографическая ссылка (Plain text)

CVE Futuretools (2026). Анализ уязвимости CVE-2026-90439: NGINX ngx_http_v3_module vulnerability. URL: https://cve.futuretools.ru/cve/CVE-2026-90439

BibTeX формат (LaTeX)

@misc{cve_futuretools_cve_2026_90439,
  title = {{CVE-2026-90439: NGINX ngx_http_v3_module vulnerability}},
  author = {{CVE Futuretools}},
  year = {2026},
  howpublished = {\url{https://cve.futuretools.ru/cve/CVE-2026-90439}},
  note = {Оперативный инженерный анализ киберугроз}
}