F5は、NGINX 1.30.4および1.31.3でCVE-2026-42533というスタックバッファオーバーフローの脆弱性を修正した。この不具合は、特定の正規表現マップを含むサーバーで、攻撃者が送信するHTTPリクエストによってプロセスをクラッシュさせる。これによりサービス拒否（DoS）が発生する可能性がある。ASLRが無効化されているか回避可能な場合、リモートコード実行が可能になる。

この脆弱性は、NGINXの二段階の式評価メカニズムに起因する。第一段階でバッファサイズが計算され、第二段階でデータが書き込まれる。その中間で実行される正規表現評価が、両段階で共有されるデータ状態を破壊し、バッファサイズが誤って計算される。その結果、攻撃者が制御するデータがバッファの外側に溢れる。

アップデートが適用できないシステムでは、F5は正規表現マップ内の番号付きキャプチャ（$1、$2）を名前付きキャプチャに置き換えることを推奨している。しかし研究者Stan Shawは、この対策が完全ではないと指摘し、別の攻撃経路が依然として開いていると述べている。完全な解決は、NGINXの公式アップデートによるみ可能である。これは過去2か月で発見された3つ目の同種のバッファオーバーフロー脆弱性である。現在まで、公開されたエクスプロイトは存在しない。