Dein Webserver ist das Herz deiner Website, deiner Cloud, deiner selbstgehosteten Dienste. Und genau dort klafft jetzt ein Loch: F5 hat außer der Reihe Notfall-Patches für NGINX veröffentlicht. Gleich zwei kritische Lücken stecken in den Modulen für HTTP/3 und HTTP/2 — und im schlimmsten Fall führt ein Angreifer aus der Ferne eigenen Code aus. Hier liest du in Ruhe, was passiert ist und wie du dich in wenigen Minuten absicherst.
SCHOCK: Ein Zeiger, der ins Leere greift
Die gefährlichere der beiden Lücken trägt die Kennung CVE-2026-42530 und steckt im HTTP/3-Modul ngx_http_v3_module. Technisch ist es ein klassischer Use-after-Free: Ein Zeiger, der zur langlebigen HTTP/3-Sitzung gehört, hält plötzlich Speicher fest, der eigentlich nur zu einem kurzlebigen Stream gehörte. Schließt der Stream, wird der Speicher freigegeben — der Zeiger zeigt aber weiter darauf, als wäre alles in Ordnung.
Ein Angreifer kann das ausnutzen, indem er über eine präparierte QUIC-Verbindung einen QPACK-Encoder-Stream wieder öffnet. Das Ergebnis: Speicherkorruption im NGINX-Worker. Meist stürzt der Prozess ab (Denial of Service), doch auf Systemen, bei denen die Speicher-Adressverwürfelung (ASLR) deaktiviert oder umgangen ist, lässt sich das bis zur Codeausführung eskalieren. Und das Beste für den Angreifer: Er braucht weder Passwort noch Konto.
GEFAHR auch in HTTP/2
Die zweite Schwachstelle, CVE-2026-42055, sitzt im HTTP/2-Modul. F5 hat beide Löcher gemeinsam in einem Out-of-Band-Advisory behandelt und als kritisch eingestuft, weil auch hier eine Remote-Codeausführung im Raum steht. Heißt für dich: Selbst wenn du HTTP/3 noch gar nicht nutzt, bist du über das weit verbreitete HTTP/2 möglicherweise angreifbar.
Bin ich betroffen? So prüfst du es
Betroffen ist NGINX Open Source 1.31.0 und 1.31.1 (Mainline-Zweig). Tippe in dein Terminal:
nginx -v
Steht dort eine 1.31.0 oder 1.31.1, solltest du sofort handeln. Prüfe zusätzlich, ob die verwundbaren Module überhaupt aktiv sind: Suche in deiner Konfiguration nach listen ... quic; oder http3 on; (HTTP/3) und nach http2 on; beziehungsweise dem alten listen ... http2; (HTTP/2). Wer beides nicht aktiviert hat, ist beim HTTP/3-Bug aus dem Schneider — patchen solltest du trotzdem.
So rettest du deinen Server in 5 MINUTEN
Der saubere Weg ist das Update: F5 hat den Fix in NGINX 1.31.2 veröffentlicht (Stand 17. Juni 2026). Spiel die neue Version über deinen Paketmanager oder das offizielle NGINX-Repository ein und lade den Dienst neu:
sudo systemctl reload nginx
EXTRA-TIPP: Kannst du gerade nicht updaten? Dann entschärfe wenigstens die HTTP/3-Lücke, indem du das QUIC-Modul vorübergehend abschaltest. Kommentiere die http3– und quic-Zeilen in deinen listen-Direktiven aus und lade NGINX neu. Deine Seite läuft dann über HTTP/2 und HTTP/1.1 weiter — etwas weniger schnell, aber sicher, bis das Update sitzt.
FAZIT: Klein, aber dringend
Zwei kritische Lücken, ein klarer Patch — das ist eine Aufgabe für heute, nicht für nächste Woche. Gerade selbstgehostete Setups hinter NGINX (Nextcloud, Vaultwarden, dein Blog) sind aus dem Internet erreichbar und damit ein lohnendes Ziel. Ein nginx -v, ein Update auf 1.31.2, ein Reload — fertig. Wer automatische Sicherheits-Updates nutzt, sollte trotzdem kurz nachsehen, ob die neue Version wirklich angekommen ist.
Häufige Fragen
Welche NGINX-Versionen sind betroffen?
nginx -v.Wie merke ich, ob mein Server verwundbar ist?
http3 on; beziehungsweise quic in den listen-Direktiven, ist das HTTP/3-Modul aktiv und der kritischste Bug greift. HTTP/2 ist auf vielen Servern standardmäßig an. Im Zweifel gilt: Update einspielen, dann bist du auf der sicheren Seite.Wie behebe ich das Problem konkret?
sudo systemctl reload nginx neu. Geht das gerade nicht, schalte als Notlösung HTTP/3 ab, indem du die http3- und quic-Einträge in den listen-Direktiven auskommentierst und neu lädst. Das schließt zumindest die gefährlichste Lücke.Gab es schon aktive Angriffe?
Quellen: The Hacker News, BleepingComputer, SOCRadar/SecurityOnline (F5/NGINX-Advisory, Juni 2026).