Date historique de l’article : 2026-10-14 (date de divulgation et de publication de sécurité). Sources vérifiées et informations complétées via 2026-10-27.

Événement et impact

NGINX a publié Stable 1.30.6 et Mainline 1.31.7 sur 2026-10-14, corrigeant cinq vulnérabilités principales : CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 et CVE-2026-97629. Ils affectent le mappage de chemin, l’évaluation des variables, les opérations de fichiers asynchrones, les corps de requête HTTP/3 et les tickets de session TLS. L’exposition dépend de la configuration ; Tous les déploiements NGINX ne sont pas vulnérables à l’exécution de code à distance.

Actions prioritaires

  1. Pour les packages en amont, respectez la référence de correctif distincte Stable 1.30.6 ou Mainline 1.31.7. Mainline 1.31.8 était disponible à la date de vérification ultérieure. Pour les packages de distribution et NGINX Plus, vérifiez la branche du fournisseur et la version complète du package.
  2. Combinaisons d’audit impliquant alias, rewrite, map, SSI/AIO, HTTP/3 et les caches de session partagés TLS. Donnez la priorité aux points de terminaison et aux services publics à l’aide de l’authentification par certificat client.
  3. Validez la configuration, puis redémarrez ou déployez des remplacements pour chaque ancienne instance. Un rechargement de configuration ordinaire ne prouve pas que le binaire live a été mis à jour.

Vérification et suivi

Confirmez que les points de terminaison réels utilisent des packages ou des images fixes, et testez les téléchargements par proxy, les limites du corps des requêtes, le routage et l’authentification du certificat client. WAF, ASLR et les modifications de configuration temporaires ne peuvent pas remplacer les correctifs. Le statut correctif d’une distribution ne peut pas être supposé s’appliquer à une autre.

Cet article est archivé sous la date de l’événement du 14 octobre et comprend des informations ultérieures. Lisez le guide complet de vulnérabilité et de correction NGINX pour connaître les configurations concernées, les correctifs spécifiques aux branches, les mécanismes de correctifs, les atténuations temporaires et les sources officielles.