Historisches Artikeldatum: 2026-10-14 (Offenlegungs- und Sicherheitsveröffentlichungsdatum). Quellen überprüft und Informationen ergänzt durch 2026-10-27.

Ereignis und Wirkung

NGINX hat Stable 1.30.6 und Mainline 1.31.7 auf 2026-10-14 veröffentlicht und fünf Kernschwachstellen behoben: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 und CVE-2026-97629. Sie betreffen Pfadzuordnung, Variablenauswertung, asynchrone Dateioperationen, HTTP/3-Anforderungskörper und TLS-Sitzungstickets. Die Belichtung hängt von der Konfiguration ab; Nicht jede NGINX-Bereitstellung ist anfällig für die Remotecodeausführung.

Vorrangige Maßnahmen

  1. Für Upstream-Pakete gilt die separate Patch-Baseline Stable 1.30.6 oder Mainline 1.31.7. Mainline 1.31.8 war zum späteren Verifizierungsdatum verfügbar. Überprüfen Sie für Distributionspakete und NGINX Plus die Zweig- und Vollpaketversion des Anbieters.
  2. Prüfkombinationen mit alias, rewrite, map, SSI/AIO, HTTP/3 und gemeinsam genutzten TLS-Sitzungscaches. Priorisieren Sie öffentliche Endpunkte und Dienste mithilfe der Client-Zertifikatauthentifizierung.
  3. Validieren Sie die Konfiguration und führen Sie dann einen Neustart durch oder führen Sie Ersatz für jede alte Instanz ein. Ein gewöhnliches Neuladen der Konfiguration beweist nicht, dass die Live-Binärdatei aktualisiert wurde.

Überprüfung und Nachverfolgung

Bestätigen Sie, dass echte Endpunkte feste Pakete oder Bilder verwenden, und testen Sie Proxy-Uploads, Grenzwerte für Anforderungstexte, Routing und Client-Zertifikatauthentifizierung. WAF, ASLR und temporäre Konfigurationsänderungen können Patches nicht ersetzen. Es kann nicht davon ausgegangen werden, dass der Fixstatus einer Distribution auf eine andere zutrifft.

Dieser Artikel ist unter dem Veranstaltungsdatum 14. Oktober archiviert und enthält spätere Informationen. Lesen Sie den vollständigen NGINX-Leitfaden zur Schwachstelle und Behebung für betroffene Konfigurationen, branchenspezifische Korrekturen, Patch-Mechanismen, vorübergehende Abhilfemaßnahmen und offizielle Quellen.