ऐतिहासिक लेख दिनांक: 2026-10-14 (प्रकटीकरण और सुरक्षा रिलीज़ दिनांक)। स्रोतों की जाँच की गई और जानकारी 2026-10-27 के माध्यम से पूरक की गई।

घटना और प्रभाव

NGINX ने 2026-10-14 पर Stable 1.30.6 और Mainline 1.31.7 जारी किया, पांच मुख्य कमजोरियों को ठीक किया: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 और CVE-2026-97629। वे पथ मानचित्रण, चर मूल्यांकन, अतुल्यकालिक फ़ाइल संचालन, HTTP/3 अनुरोध निकाय और TLS सत्र टिकट को प्रभावित करते हैं। एक्सपोज़र कॉन्फ़िगरेशन पर निर्भर करता है; प्रत्येक NGINX परिनियोजन दूरस्थ कोड निष्पादन के प्रति संवेदनशील नहीं है।

प्राथमिकता वाले कार्य

  1. अपस्ट्रीम पैकेज के लिए, अलग Stable 1.30.6 या Mainline 1.31.7 पैच बेसलाइन को पूरा करें। Mainline 1.31.8 बाद की सत्यापन तिथि पर उपलब्ध था। वितरण पैकेज और NGINX Plus के लिए, विक्रेता की शाखा और पूर्ण पैकेज संस्करण को सत्यापित करें।
  2. ऑडिट संयोजनों में alias, rewrite, map, SSI/AIO, HTTP/3 और साझा TLS सत्र कैश शामिल हैं। क्लाइंट प्रमाणपत्र प्रमाणीकरण का उपयोग करके सार्वजनिक समापन बिंदुओं और सेवाओं को प्राथमिकता दें।
  3. कॉन्फ़िगरेशन को मान्य करें, फिर प्रत्येक पुराने उदाहरण के लिए प्रतिस्थापन को पुनरारंभ करें या रोल आउट करें। एक सामान्य कॉन्फ़िगरेशन पुनः लोड यह साबित नहीं करता है कि लाइव बाइनरी अपडेट किया गया है।

सत्यापन एवं अनुवर्ती कार्रवाई

पुष्टि करें कि वास्तविक समापन बिंदु निश्चित पैकेज या छवियों का उपयोग करते हैं, और प्रॉक्सी अपलोड का परीक्षण करते हैं, बॉडी सीमा, रूटिंग और क्लाइंट प्रमाणपत्र प्रमाणीकरण का अनुरोध करते हैं। WAF, ASLR और अस्थायी कॉन्फ़िगरेशन परिवर्तन पैच को प्रतिस्थापित नहीं कर सकते। एक वितरण की निश्चित स्थिति को दूसरे पर लागू नहीं माना जा सकता है।

यह लेख 14 अक्टूबर की घटना तिथि के अंतर्गत संग्रहीत है और इसमें बाद की जानकारी शामिल है। प्रभावित कॉन्फ़िगरेशन, शाखा-विशिष्ट सुधार, पैच तंत्र, अस्थायी शमन और आधिकारिक स्रोतों के लिए संपूर्ण NGINX भेद्यता और निवारण गाइड पढ़ें।