Data articolo storico: 2026-10-14 (data di divulgazione e rilascio di sicurezza). Fonti controllate e informazioni integrate tramite 2026-10-27.

Evento e impatto

NGINX ha rilasciato Stable 1.30.6 e Mainline 1.31.7 su 2026-10-14, risolvendo cinque vulnerabilità principali: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 e CVE-2026-97629. Influiscono sulla mappatura del percorso, sulla valutazione delle variabili, sulle operazioni di file asincrone, sui corpi delle richieste HTTP/3 e sui ticket di sessione TLS. L’esposizione dipende dalla configurazione; non tutte le distribuzioni NGINX sono vulnerabili all’esecuzione di codice remoto.

Azioni prioritarie

  1. Per i pacchetti upstream, soddisfare la base di patch separata Stable 1.30.6 o Mainline 1.31.7. Mainline 1.31.8 era disponibile alla data di verifica successiva. Per i pacchetti di distribuzione e NGINX Plus, verificare la filiale del fornitore e la versione completa del pacchetto.
  2. Combinazioni di controllo che coinvolgono alias, rewrite, map, SSI/AIO, HTTP/3 e cache di sessione TLS condivise. Assegna la priorità agli endpoint e ai servizi pubblici utilizzando l’autenticazione del certificato client.
  3. Convalida la configurazione, quindi riavvia o implementa le sostituzioni per ogni vecchia istanza. Un normale ricaricamento della configurazione non dimostra che il file binario live sia stato aggiornato.

Verifica e follow-up

Conferma che gli endpoint reali utilizzino pacchetti o immagini fissi e testa i caricamenti proxy, i limiti del corpo della richiesta, il routing e l’autenticazione del certificato client. WAF, ASLR e le modifiche temporanee alla configurazione non possono sostituire le patch. Non si può presumere che lo stato di correzione di una distribuzione si applichi a un’altra.

Questo articolo è archiviato con la data dell’evento del 14 ottobre e include informazioni successive. Leggi la guida completa alla vulnerabilità e alla risoluzione di NGINX per configurazioni interessate, correzioni specifiche del ramo, meccanismi di patch, mitigazioni temporanee e fonti ufficiali.