CVE-2026-97629

🎯 CVE-2026-97629 🇪🇺 EUVD

💬 0 Diskussion 📄 .md Alle CVEs anzeigen ✕

CVE-2026-97629 | Description When NGINX Plus or NGINX Open Source is configured with ssl_session_cache shared:name:size without an explicit ssl_session_ticket_key file directives to automatically rotate SSL session ticket keys, a remote unauthenticated attacker is able to forge client SSL sessions in a non-deterministic manner that is beyond the attacker's control. An attacker could leverage this vulnerability to bypass verification of client certificates. Impact This

Description
When NGINX Plus or NGINX Open Source is configured with ssl_session_cache

shared:name:size

without an explicit ssl_session_ticket_key file directives to automatically rotate SSL session ticket keys, a remote unauthenticated attacker is able to forge client SSL sessions

in a non-deterministic manner that is beyond the attacker's control. An attacker could leverage this vulnerability to bypass verification of client certificates.

Impact

This vulnerability can lead to the exposure of resources or functionality to unintended actors, possibly providing attackers with access to sensitive information. There is no control plane exposure; this is a data plane issue only.

Note: Software versions which have reached End of Technical Support (EoTS) are not evaluated.

Klassifikation & Betroffenheit:

CWE-908 F5 NGINX Open Source 1.23.3 <*NGINX Open Source 1.31.0 <1.31.7NGINX Plus R34 <*NGINX Plus R35 <*NGINX Plus 37.1.0 <37.1.0.1NGINX Plus R33 <*NGINX Plus R36 <*NGINX Open Source 1.30.0 <1.30.6

Use of Uninitialized Resource 🎯 Medium

The product uses or accesses a resource that has not been initialized.

🛡️ Empfohlene Mitigation: Explicitly initialize the resource before use. If this is performed through an API function or standard procedure, follow all required steps.

Vollständige Definition bei MITRE ➔

🧩 Ähnliche Schwachstellen (Hersteller/Klasse/Score-Band):

CVE-2025-50165 9.8 CVE-2025-1942 9.8 CVE-2023-46747 9.8 CVE-2023-24941 9.8 CVE-2022-1388 9.8

🧪 Exploit-Evidenz:

🐙 PhiNode-Labs/nginx-cve-2026-9762

📰 Eigene Berichterstattung: ➔ CVE-2026-97629 | F5 NGINX Plus/NGINX Open Source certificate validation (Nessus

🇩🇪 BSI-Sicherheitshinweise: BSI · hoch · NGINX: Mehrere Schwachstellen ↗

📚 Referenzen & Quellen:

🇪🇺 Original-Eintrag (ENISA EUVD) 🇺🇸 NVD-Eintrag

🔗 my.f5.com/manage/s/article/K000162606

Ausnutzungs-Zeitleiste:

Reserviert 2026

Veröffentlicht 10/2026

Heute 09.11.

CVSS-Vektor-Analyse: 8.3

AV · Angriffsvektor Netzwerk

AC · Komplexität Gering

PR · Privilegien Keine

UI · Interaktion Keine

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N

CNA-Bewertung (f5): 6.5 CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:N — weicht vom Dossier-Score ab

Veröffentlicht:14.10.2026

Aktualisiert:15.10.2026 17:17

Assigner (CNA):f5

EUVD-ID:EUVD-2026-101113

Quellen: 🇪🇺 EUVD-Datenbank (ENISA) + 🇺🇸 NVD-Anreicherung · 24-h-Cache

CWE-908 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

Tier	CVEs	Anteil
≥90 %	785	0,2 %
≥50 %	3.559	0,9 %
≥10 %	13.140	3,2 %
<10 %	396.071	95,8 %

Datenquellen & Methodik: Primärquelle ist die EUVD der ENISA (laufender Datenbank-Sync, alle 15 Minuten), abgeglichen mit dem CISA-KEV-Katalog und der NVD — Detail-Dossiers reichern fehlende Felder live per NVD an — mit Fallback auf CIRCL vulnerability-lookup (EU/Non-Profit, aggregiert CVE-, GitHub- und OSV-Advisories). Der CISA-KEV-Katalog (Known Exploited Vulnerabilities, ~1.700 aktiv ausgenutzte Schwachstellen) wird bei jedem Sync vollständig neu geladen und kreuzreferenziert — filterbar über die KEV-Pille. CVSS 3.1 wird nach Ampel-Logik aus Verteidigersicht dekodiert; EPSS bezeichnet die 30-Tage-Exploit-Wahrscheinlichkeit (FIRST.org).

🇪🇺 ENISA EUVD 🇺🇸 NVD ⚠️ CISA KEV ⚡ EPSS

8.3 HIGH

EPSS

0.3%

CVE-2026-97629 🌐 Netzwerk (Remote) 🔓 Keine Authentifizierung nötig

CVE-2026-97629 | Description When NGINX Plus or NGINX Open Source is configured with ssl_session_cache shared:name:size without an explicit ssl_session_ticket_key file directives to automatically rotate SSL session ticket keys, a remote unauthenticated attacker is able to forge client SSL sessions in a non-deterministic manner that is beyond the attacker's control. An attacker could leverage this vulnerability to bypass verification of client certificates. Impact This

CWE-908 ✓ Offizieller Patch / Advisory verfügbar

💡 Gegenmaßnahme: Sicherheits-Update des Herstellers zeitnah einspielen und Netzwerksegmentierung prüfen.

vor 25 Tagen ↻ vor 10 Tagen

🛡️ Details ➔

Zero-Day & Vulnerability Intelligence Hub