F5 Networks telah merilis pembaruan keamanan kritis untuk web server NGINX guna menutup kerentanan heap buffer overflow bernomor CVE-2026-42533. Kerentanan ini mendapatkan skor CVSS 9.2 (versi 4) dan 8.1 (versi 3.1), menandakan tingkat keparahan yang sangat tinggi. Dampaknya sangat luas: setiap versi NGINX dari 0.9.6 (rilis tahun 2011) hingga 1.31.2 rentan terhadap serangan ini.
APA YANG TERJADI?
F5 Networks, induk perusahaan pengembang NGINX, mengumumkan patch keamanan pada 15 Juli 2026 untuk versi NGINX 1.30.4 dan 1.31.3. Kerentanan ditemukan oleh peneliti keamanan Stan Shaw (cyberstan) dan terletak pada script engine NGINX, tepatnya dalam mekanisme evaluasi dua pass. Saat NGINX memproses directive server unbuffered, terdapat kondisi di mana alokasi memori tidak memadai untuk menampung data yang diproses, sehingga memicu heap buffer overflow. Yang lebih mengkhawatirkan, Stan Shaw mengklaim bahwa bypass ASLR (Address Space Layout Randomization) sudah tersedia secara built-in dalam kerentanan ini, yang berarti pelaku serangan tidak memerlukan teknik tambahan yang kompleks untuk mengeksploitasi kelemahan tersebut.
DETAIL TEKNIS
CVE-2026-42533 mempengaruhi komponen script engine NGINX, yang bertanggung jawab mengevaluasi variabel dan ekspresi dalam konfigurasi server. Mekanisme two-pass evaluation menghitung panjang buffer pada pass pertama, namun kondisi tertentu menyebabkan pass kedua menulis data melebihi batas buffer yang telah dialokasikan, memicu heap overflow. Stan Shaw mencatat bahwa ini merupakan heap overflow ketiga dalam mekanisme evaluasi ekspresi NGINX dalam kurun waktu sekitar dua bulan terakhir, mengindikasikan adanya pola kerentanan yang berulang di komponen tersebut. Meskipun belum ada exploit publik yang tersedia saat ini, Shaw berjanji akan merilis proof-of-concept dalam 21 hari setelah patch dirilis.
DAMPAK TERHADAP INDONESIA
Indonesia memiliki jumlah server web yang signifikan berjalan di atas NGINX, terutama di sektor e-commerce, fintech, dan layanan pemerintah digital. Banyak penyedia layanan cloud domestik dan hosting lokal masih menjalankan versi NGINX yang sudah usang karena keterbatasan sumber daya teknis atau prosedur update yang lambat. Dengan skor CVSS 9.2, kerentanan ini memungkinkan pelaku serangan melakukan remote code execution tanpa autentikasi, yang berarti setiap server NGINX yang belum di-patch menjadi target potensial. BSSN dalam beberapa tahun terakhir terus mengingatkan organisasi pemerintah dan sektor kritis untuk menerapkan patch management secara proaktif. Namun realitanya, banyak instansi yang masih lambat dalam menerapkan pembaruan keamanan, sehingga meninggalkan jendela waktu yang lebar bagi pelaku serangan.
REKOMENDASI MITIGASI
Segera update NGINX ke versi 1.30.4 atau 1.31.3 sesuai branch yang digunakan. Untuk organisasi yang menjalankan NGINX melalui container, pastikan base image telah diperbarui. Evaluasi kembali apakah direktif server unbuffered digunakan dalam konfigurasi. Lakukan audit terhadap log akses untuk mendeteksi anomali eksploitasi. Bagi organisasi yang tidak dapat melakukan update segera, pertimbangkan untuk menerapkan WAF (Web Application Firewall) sebagai lapisan pertahanan tambahan.
Analisa Retasan
Kerentanan heap buffer overflow dalam NGINX ini memperkuat kekhawatiran yang sudah lama disuarakan oleh komunitas keamanan tentang keamanan komponen infrastruktur web kritis. NGINX mendukung sekitar 34 persen dari seluruh server web global, sehingga dampak dari CVE-2026-42533 tidak bisa dianggap remeh.
Fakta bahwa ini adalah heap overflow ketiga dalam dua bulan pada komponen yang sama menunjukkan bahwa script engine NGINX memiliki masalah arsitektural yang mendasar. Tim pengembang F5 perlu melakukan audit keamanan menyeluruh terhadap seluruh mekanisme evaluasi ekspresi, bukan sekadar menambal satu per satu kerentanan yang ditemukan.
Bagi pelaku keamanan di Indonesia, ini adalah waktu yang tepat untuk memastikan seluruh infrastruktur web yang menggunakan NGINX telah terproteksi. Jangan menunggu PoC dirilis, karena momentum serangan biasanya meningkat secara drastis dalam 72 jam pertama setelah proof-of-concept tersedia secara publik.
Sumber: The Hacker News
Tags: NGINX, CVE-2026-42533, Heap Buffer Overflow, RCE, F5, Remote Code Execution, Web Server Security
