Tanggal artikel bersejarah: 2026-10-14 (tanggal pengungkapan dan rilis keamanan). Sumber diperiksa dan informasi ditambah melalui 2026-10-27.
Peristiwa dan dampak
NGINX merilis Stable 1.30.6 dan Mainline 1.31.7 di 2026-10-14, memperbaiki lima kerentanan inti: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 dan CVE-2026-97629. Mereka memengaruhi pemetaan jalur, evaluasi variabel, operasi file asinkron, badan permintaan HTTP/3, dan tiket sesi TLS. Eksposur bergantung pada konfigurasi; tidak setiap penerapan NGINX rentan terhadap eksekusi kode jarak jauh.
Tindakan prioritas
- Untuk paket upstream, penuhi garis dasar patch Stable 1.30.6 atau Mainline 1.31.7 yang terpisah. Mainline 1.31.8 tersedia pada tanggal verifikasi selanjutnya. Untuk paket distribusi dan NGINX Plus, verifikasi cabang vendor dan versi paket lengkap.
- Kombinasi audit yang melibatkan
alias,rewrite,map, SSI/AIO, HTTP/3 dan cache sesi TLS bersama. Prioritaskan titik akhir dan layanan publik menggunakan autentikasi sertifikat klien. - Validasi konfigurasi, lalu mulai ulang atau luncurkan pengganti untuk setiap instance lama. Pemuatan ulang konfigurasi biasa tidak membuktikan bahwa biner langsung telah diperbarui.
Verifikasi dan tindak lanjut
Konfirmasikan bahwa titik akhir sebenarnya menggunakan paket atau gambar tetap, dan uji unggahan yang diproksi, batas isi permintaan, perutean, dan autentikasi sertifikat klien. WAF, ASLR dan perubahan konfigurasi sementara tidak dapat menggantikan patch. Status perbaikan suatu distribusi tidak dapat diasumsikan berlaku pada distribusi lainnya.
Artikel ini diarsipkan pada tanggal acara 14 Oktober dan menyertakan informasi selanjutnya. Baca panduan lengkap kerentanan dan remediasi NGINX untuk konfigurasi yang terpengaruh, perbaikan khusus cabang, mekanisme patch, mitigasi sementara, dan sumber resmi.