NGINX: Mehrere Schwachstellen ermöglichen Codeausführung

Tier B · Diese Woche patchen – Ab in den Sprint

Wer betroffen ist: Installationen von NGINX und NGINX Plus

Tier B, weil: Volle Übernahme ODER Geheimnisse offengelegt ODER Lieferkette

Reichweite

Angriff

Schaden

Fix

Verbreitetes Werkzeug · Volle Übernahme

Kurz gesagt

Das BSI warnt vor mehreren Schwachstellen in NGINX, NGINX Plus und NGINX.
Ein Angreifer kann diese ausnutzen, um beliebigen Programmcode auszuführen.
Zusätzlich sind Sicherheitsmaßnahmen umgehbar, Daten manipulierbar oder offenlegbar und ein Denial-of-Service-Zustand auslösbar.

Warum es wichtig ist

Der Webserver NGINX ist in vielen Produktionsumgebungen im Einsatz. Wer NGINX oder NGINX Plus betreibt, sollte prüfen, ob die eigenen Systeme betroffen sind, da Codeausführung durch einen Angreifer möglich ist.

Die Checkliste hinter dem Tier

Checkliste · 3 von 10 mit Ja

Ja	Trifft Tech-Teams	Für Entwickler und Ops-Teams: NGINX und NGINX Plus sind verbreitete Webserver und Reverse Proxies in Unternehmensbetrieb.
Nein	Kerninfrastruktur	NGINX ist ein einzelnes Produkt eines Herstellers, keine Kerninfrastruktur wie OpenSSH oder der Linux-Kernel.
Ja	Verbreitetes Werkzeug	NGINX ist ein weit verbreiteter Webserver und Reverse Proxy, den viele Teams einsetzen.
Nein	Wird ausgenutzt	BSI WID: Beschreibt nur Ausnutzungsmöglichkeiten; keine Quelle meldet beobachtete Angriffe.
Nein	Exploit öffentlich	BSI WID: Kein Hinweis auf veröffentlichten Exploit-Code oder PoC.
Nein	Aus der Ferne, ohne Login	BSI WID: Nennt keine Angaben zu Authentifizierung oder Netzwerkzugriff ohne Anmeldung.
Ja	Volle Übernahme	BSI WID: Angreifer können beliebigen Programmcode ausführen, also Codeausführung.
Nein	Geheimnisse offengelegt	BSI WID: Offenlegung von Daten ist möglich, aber kein Diebstahl gemeldet.
Nein	Lieferkette	BSI WID: Keine Hinweise auf kompromittierte Pakete, Updates oder Build-Pipelines.
Nein	Noch kein Fix	BSI WID: Nennt keine fehlende Korrektur; als UPDATE-Meldung deutet alles auf verfügbare Patches hin.

Zeitleiste

11. Nov.
BSI aktualisiert Warnung WID-SEC-2026-3948 zu NGINX-Schwachstellen
11. Nov. · 13:02
BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories)
[UPDATE] [hoch] NGINX: Mehrere Schwachstellen

Quelle

[UPDATE] [hoch] NGINX: Mehrere Schwachstellen ↗ BSI Warn- und Informationsdienst (WID): Schwachstellen-Informationen (Security Advisories) · vor 46 Min.

Zuerst gesehen vor 46 Min. · 1 Quelle · Zur ganzen Meldung · Wie Tiers entschieden werden