NGINX Open Source: HTTP/3-Lücke nur unter engen Bedingungen

NGINX Open Source ist ein Webserver und Reverse Proxy, der Anfragen ausliefert oder an Anwendungen weiterleitet. CVE-2026-90439 betrifft seine optionale HTTP/3-Unterstützung: Unter einer engen Kombination aus Build, Protokoll, Kryptobibliothek und weiteren Konfigurationsbedingungen kann ein präparierter Verbindungsaufbau einen begrenzten Speicherüberlauf auslösen.

Betroffen sind die Open-Source-Versionen 1.29.2 bis 1.31.5. Behoben ist der Fehler in 1.30.5 und 1.31.6. NGINX bewertet ihn als mittel; aktive Ausnutzung ist mit Quellenstand 20. September 2026 nicht bestätigt.

Was Besucher und Betreiber davon sehen können

Ein Angreifer verbindet sich per HTTP/3 mit einem öffentlich erreichbaren Server. HTTP/3 ist eine HTTP-Transportvariante über QUIC statt TCP. Beim TLS-Handshake handeln Client und Server die verschlüsselte Verbindung aus. Dort kann eine präparierte Datenfolge den Fehler auslösen — laut Hersteller jedoch nicht deterministisch und nicht vollständig unter Kontrolle des Angreifers.

Normale Besucher sehen keine Sicherheitsabfrage. Je nach Prozess- und Proxyaufbau können sie einen Verbindungsabbruch, Timeout oder eine vorübergehende Dienststörung bemerken; ein bestimmter HTTP-Status ist nicht belegt. Betreiber können Worker-Neustarts, entsprechende Fehlermeldungen und erhöhte Abbruchraten beobachten.

Ein Heap-Überlauf schreibt über den vorgesehenen Bereich eines dynamisch reservierten Speicherblocks hinaus. Dokumentiert sind ein möglicher Worker-Neustart, eine mögliche Dienststörung und begrenzte Datenkorruption. Eine belastbar bestätigte Ausführung fremden Codes nennt die öffentliche Herstellerinformation nicht.

Drei prüfbare Bedingungen — und eine öffentliche Grenze

Eine Versionsnummer allein genügt nicht. Öffentlich benannt sind für den verwundbaren Pfad:

1. NGINX Open Source wurde mit ngx_http_v3_module gebaut.
2. HTTP/3 ist auf dem betroffenen Listener aktiv.
3. NGINX verwendet OpenSSL 3.5.0 oder älter.

ngx_http_v3_module ist das optionale NGINX-Modul für HTTP/3. F5 spricht zusätzlich von „bestimmten Konfigurationen“, führt diese weitere Bedingung in der öffentlich zitierten Herstellerquelle aber nicht genauer aus. Der Beitrag macht daraus deshalb weder einen vierten Test noch eine vollständige Negativprüfung. Wer die drei genannten Bedingungen erfüllt, sollte die Installation bis zur Klärung als prüf- und patchbedürftig behandeln.

Der Versionsplan dieses Beitrags gilt ausschließlich für NGINX Open Source. NGINX Plus, NGINX Ingress Controller und NGINX Gateway Fabric haben eigene Produkt- und Fixstände in der F5-Information.

Was jetzt sinnvoll ist

1. Mit nginx -V Buildargumente und verwendete Kryptobibliothek erfassen.
2. Zusätzlich die wirksame Konfiguration prüfen: Ist HTTP/3 auf einem öffentlich erreichbaren Listener tatsächlich aktiv?
3. Im stabilen 1.30-Zweig mindestens auf 1.30.5, im Mainline-Zweig 1.31 mindestens auf 1.31.6 aktualisieren. Bei Distributionspaketen zählt der bestätigte Backport des Anbieters.
4. Nach dem Update Konfiguration testen und kontrolliert neu laden.

Wenn ein Update nicht sofort möglich ist, reduziert das vorübergehende Abschalten von HTTP/3 technisch die Exposition gegenüber diesem HTTP/3-Pfad. Das ist eine redaktionell abgeleitete Zwischenmaßnahme, kein vom Hersteller als gleichwertig ausgewiesener Workaround und kein Ersatz für den Fix. Die Protokolländerung muss auf Verträglichkeit getestet werden.

Quellen

• NGINX Security Advisories, Eintrag zu CVE-2026-90439 vom 15. September 2026
• F5: K000162604, Produkt- und Konfigurationsgrenzen
• Amazon Linux Security Center: CVE-2026-90439, ergänzender Herstellertracker
• CVE.org: CVE-2026-90439

Quellenstand: 20. September 2026.