Social Posts: NGINX Rift / 18 Jahre, 6 Stunden

Begleitposts zum Artikel nginx-rift-18-jahre-ki-audit-mittelstand. Veröffentlichungsdatum: 2026-05-15

LinkedIn DE (~1.150 Zeichen)

Sechs Stunden. Achtzehn Jahre.

Gestern veröffentlichten F5 und der Researcher depthfirst die Disclosure für CVE-2026-42945, Codename NGINX Rift. CVSS 9.2, unauthentifizierte Remote Code Execution im Rewrite-Modul. Der Bug liegt seit 2008 im Code.

Die Pointe steht in der Fußnote. Den Bug fand kein Mensch, sondern ein autonomes KI-Analyse-System. Sechs Stunden Laufzeit gegen eine der am intensivsten geprüften Open-Source-Codebasen der Welt.

Sechs Tage zuvor hatte Mozilla berichtet, dass Anthropics Mythos 271 Firefox-Bugs gefunden hat. Was als „kommt bald" formuliert war, ist diese Woche real.

NGINX läuft auf rund einem Drittel aller Websites. Reverse Proxy vor ERP-Webclients oder Ingress-Controller im Container-Cluster. Wer im Mittelstand IT verantwortet, hat NGINX im Pfad.

Diese Woche zu tun: Patch auf 1.30.1 oder NGINX Plus R32 P6. Wenn das in 48 Stunden nicht geht, sauberer Workaround durch benannte PCRE-Captures statt $1 und $2.

Ausführlicher Beitrag mit Asset-Inventory-Vorgehen und SLA-Empfehlungen für Mittelstand-IT-Teams. Link im ersten Kommentar.

#ITSicherheit #NGINX #Mittelstand #CVE #KIAudit

LinkedIn EN (~1.150 Zeichen)

Six hours. Eighteen years.

Yesterday, F5 and researcher depthfirst published the disclosure for CVE-2026-42945, codename NGINX Rift. CVSS 9.2, unauthenticated remote code execution in the rewrite module. The bug has been in the code since 2008.

The punchline sits in the footnote. The bug was not found by a human, but by an autonomous AI analysis system. Six hours of runtime against one of the most heavily reviewed open-source codebases on the planet.

Six days earlier, Mozilla reported that Anthropic’s Mythos had found 271 Firefox bugs. What was framed as “coming soon” became real this week.

NGINX runs on about a third of all websites globally. Reverse proxy in front of ERP web clients, or ingress controller in the container cluster. Anyone responsible for Mittelstand IT has NGINX somewhere in the path.

What to do this week: patch to 1.30.1 or NGINX Plus R32 P6. If that is not possible within 48 hours, a clean workaround via named PCRE captures instead of $1 and $2.

Full piece with asset inventory approach and SLA recommendations for mid-sized IT teams. Link in the first comment.

#ITSecurity #NGINX #Mittelstand #CVE #AIAudit

XING DE (~1.100 Zeichen)

Sechs Stunden, achtzehn Jahre.

F5 und der Security-Researcher depthfirst haben am 13. Mai die Disclosure für CVE-2026-42945 veröffentlicht, Codename NGINX Rift. CVSS 9.2, unauthentifizierte Remote Code Execution im Rewrite-Modul. Der Bug liegt seit 2008 im Code.

Die eigentliche Lehre liegt in der Methode: depthfirst fand den Heap-Overflow mit einem autonomen KI-Analyse-System, Laufzeit sechs Stunden. Das Pattern entspricht der Mozilla-Disclosure aus der Vorwoche, in der Anthropics Mythos 271 Firefox-Bugs aufdeckte. Zwischen beiden Stories liegen sechs Tage.

NGINX läuft weltweit auf einem Drittel aller Websites. In Mittelstand-Setups als Reverse Proxy vor ERP-Webclients oder als Ingress-Controller im Container-Cluster. Patch-Empfehlung: Open Source auf 1.30.1 oder 1.31.0, NGINX Plus auf R32 P6 oder R36 P4.

Workaround, falls Patch nicht in 48 Stunden möglich ist: benannte PCRE-Captures statt $1 und $2 in allen rewrite-Direktiven.

Ausführlicher Beitrag mit Asset-Inventory und Patch-SLA-Empfehlungen auf pfisterer.xyz.

#ITSicherheit #NGINX #Mittelstand