NGINX retter fem hull i 1.30.6 og 1.31.7, og det eldste har ligget i koden siden 2005

Fem sårbarheter, og den eldste har ligget i NGINX siden versjon 0.1.29 fra mai 2005. NGINX slapp stable 1.30.6 og mainline 1.31.7 den 14. oktober, ifølge nginx.org, og The Hacker News har gått gjennom detaljene. NGINX rangerer alle fem som middels, mens F5 scorer de tre minnefeilene til 9,2 på CVSS 4.0, TLS-feilen til 8,3 og HTTP/3-feilen til 6,9. Ingen av dem er kjent utnyttet.

Alle fem krever et direktiv du har lagt inn selv. Det eldste hullet (CVE-2026-15176) gir heap overflow når en location har alias, en rewrite som endrer URI-en, og noe som leser $request_filename. CVE-2026-93479 utløses av en regex-map der captures brukes av root eller log_format, og oppsto etter fiksen i juli. CVE-2026-97205 rammer aio sammen med SSI-sider med include virtual: en teller på 8 bit går rundt til null etter 256 ventende operasjoner. CVE-2026-95101 lar en HTTP/3-klient smugle ekstra bytes til backend når proxy_request_buffering står på, som er standard.

TLS-feilen (CVE-2026-97629) treffer et vanlig oppsett: ssl_session_cache shared uten ssl_session_ticket_key, som er nøyaktig det NGINX bruker i sitt eget eksempel. Ved automatisk rotasjon kopieres bare to av tre nøkkelplasser, og den tredje kan inneholde uinitialisert minne som lar en angriper forfalske en sesjon.

«På en ikke-deterministisk måte som er utenfor angriperens kontroll» — F5, om TLS-feilen, ifølge The Hacker News

NGINX lager bare fikser for disse to grenene. Eldre grener som 1.28 forblir sårbare, og en distribusjonspakke er bare rettet hvis distribusjonen har backportert patchene. Et rewrite-hull fra mai ble utnyttet bare dager etter at det ble kjent, ifølge VulnCheck.

Hva bør du gjøre?

1. Kjør nginx -T og søk etter alias ved siden av rewrite, regex-map brukt av root eller log_format, aio sammen med ssi, listen med quic og ssl_session_cache shared uten ssl_session_ticket_key.
2. Oppgrader til 1.30.6 eller 1.31.7, og sjekk endringsloggen til distribusjonspakken hvis du ikke bygger selv.
3. Kan du ikke oppgradere ennå, last sesjonsnøkler fra fil med ssl_session_ticket_key og sett proxy_request_buffering off for HTTP/3, slik F5 anbefaler.