CVE-2026-42945 adalah vulnerability pada ngx_http_rewrite_module di NGINX yang dapat memicu denial-of-service dan berpotensi menjadi unauthenticated remote code execution pada kondisi tertentu. Kerentanan ini diumumkan pada 13 Mei 2026, dan upaya eksploitasi mulai terdeteksi pada 16 Mei 2026. Severity: High.

Attacker mengirim crafted HTTP request ke instance NGINX yang memakai pola rewrite tertentu: unnamed PCRE capture seperti $1/$2, replacement string yang mengandung ?, lalu diikuti directive rewrite, if, atau set. Pola ini memicu heap buffer overflow pada worker process, sehingga dapat menyebabkan crash loop. Pada sistem tertentu, kondisi ini juga dapat membuka peluang Remote Code Execution (RCE).

1. NGINX Open Source versi 0.6.27 sampai 1.30.0
2. NGINX Plus R32 sampai R36

1. Segera update NGINX ke 1.30.1, 1.31.0, atau versi vendor package yang sudah dipatch oleh distro/Linux vendor.
2. Jika belum memungkinan untuk melakukan patch, ubah rule rewrite dari unnamed captures ($1, $2) menjadi named captures untuk menurunkan risiko eksploitasi.
3. Audit konfigurasi rewrite, prioritaskan patch pada server internet-facing, dan monitor log untuk crafted URI, restart/crash worker, atau lonjakan request anomali.