--- title: "NGINX kerentanan: sabab, ndandani lan verifikasi produksi" description: "Deleng limang Oktober 2026 kerentanan NGINX, prasyarat konfigurasi, perbaikan khusus cabang, backport distribusi lan verifikasi produksi." language: "jv" url: "https://keendigit.com/jv/insights/nginx-remediation-guide" author: "KeenDigit" published: "2026-10-14" updated: "2026-10-27" --- # NGINX kerentanan: sabab, ndandani lan verifikasi produksi Deleng limang Oktober 2026 kerentanan NGINX, prasyarat konfigurasi, perbaikan khusus cabang, backport distribusi lan verifikasi produksi. Tanggal artikel sajarah: 2026-10-14 (tanggal pambocoran lan keamanan). Sumber dicenthang lan informasi ditambahake liwat 2026-10-27. Artikel iki diarsipaké miturut tanggal acara; versi lan release nganyari dirilis sawise 14 Oktober kalebu ing ngisor iki. Pamirsa: Situs web NGINX Open Source / NGINX Plus lan personel operasi lan pangopènan proxy mbalikke, personel respon keamanan, pangurus distribusi, uga insinyur sing nyusun NGINX lan njaga modul pihak katelu. Artikel iki fokus ing limang kerentanan inti NGINX sing dibeberke lan ditanggulangi kanthi intensif tanggal 14 Oktober 2026, lan uga katon maneh babagan keamanan memori perwakilan lan kerentanan integritas panjaluk saka Mei nganti September 2026. Konten kasebut kalebu kahanan pemicu, panyebab tingkat kode, ruang lingkup alur kerja, remediasi jangka pendek, langkah-langkah kanggo ngatasi masalah. cabang lawas lan verifikasi produksi. Referensi kayata link [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1) menyang lampiran sumber. Konfigurasi conto mung digunakake kanggo nggambarake ide penyebaran lan audit, lan kudu diverifikasi adhedhasar versi nyata, warisan konfigurasi, dependensi, lan kapasitas bisnis sadurunge implementasine. ## TL; DR: Prioritas tumindak 1. Prioritas upgrade keamanan. Kanggo nginx.org Paket Open Source, nganyari Stable 1.30 cabang kanggo paling 1.30.6 lan ing Mainline 1.31 cabang kanggo paling 1.31.7. Ing tanggal verifikasi, 1.31.8 punika paling anyar Mainline ngeculake. Iki minangka garis dasar cabang sing kapisah; aja mbandhingake jumlahe ing cabang. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1) [S2](https://keendigit.com/jv/insights/nginx-remediation-guide#source-2) 2. Verifikasi instalasi distribusi kanthi versi paket lengkap. Ubuntu 22.04 / 24.04 / 26.04 / 26.10 duwe backports vendor; Debian 13 (trixie) mbutuhake paling ora `1.26.3-3+deb13u10`. Nalika verifikasi, paket Debian 12 (bookworm) `1.22.1-9+deb12u10` isih ditandhani kena pengaruh. Priksa saben CVE; pitutur Debian 13 ora netepake yen Debian 12 tetep. [S13](https://keendigit.com/jv/insights/nginx-remediation-guide#source-13)[S14](https://keendigit.com/jv/insights/nginx-remediation-guide#source-14)[S15](https://keendigit.com/jv/insights/nginx-remediation-guide#source-15) 3. Audit limang kombinasi konfigurasi: `alias + rewrite + $request_filename` , `map` + regex + evaluasi variabel, `aio + ssi + include virtual` , HTTP/3 karo `proxy_request_buffering on` , lan `ssl_session_cache shared:...` kanthi otomatis TLS Rotasi tombol Tiket Sesi. Anane direktif mung ora netepake exploitability; netepke path request lan orane katrangan konfigurasi. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1) [S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3) [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) 4. Ganti kabeh pangolahan lan kontaner lawas. Jalanake `nginx -t`, banjur miwiti maneh layanan utawa nindakake panyebaran rolling kasedhiyan dhuwur. Konfirmasi yen proses master / worker lawas wis metu; `nginx -s reload` piyambak ora mbuktekaken yen binar mlaku wis diganti. 5. Verifikasi titik pungkasan sing nyata: HTTP/1.1, HTTP/2, HTTP/3 yen diaktifake, unggahan sing diproksi lan badan panjaluk API, otentikasi sertifikat mTLS, SSI lan kaca akses log. Rekam paket provenance, versi, gambar Digest, mlaku proses lan asil kanggo saben endpoint. 6. Yen upgrade langsung ora bisa, mbusak kahanan pemicu sing ditrapake: mateni sing ora perlu SSI / AIO utawa HTTP/3 , review ngrugekke `alias` / `rewrite` / `map` referensi variabel, lan netepake sauntara `ssl_session_tickets off;` kanggo kena pengaruh mTLS layanan. WAF , ASLR , watesan tarif lan owah-owahan konfigurasi mung nutupi sawetara kondisi lan ora bisa ngganti patch resmi. [S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3) [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) [S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8) [S12](https://keendigit.com/jv/insights/nginx-remediation-guide#source-12) ## 1. Ringkesan Kerentanan lan Paukuman Resiko NGINX dirilis 1.30.6 (Stable) lan 1.31.7 (Mainline) tanggal 14 Oktober 2026, ndandani limang masalah keamanan. Telung kalebu tumpukan overflows utawa nggunakake-sawise-gratis lan nampa F5 CVSS v4.0 skor 9.2 / Kritis. Loro liyane mengaruhi integritas panjaluk HTTP/3 lan otentikasi sertifikat klien TLS. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1)[S2](https://keendigit.com/jv/insights/nginx-remediation-guide#source-2)[S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3) Mbedakake sistem rating: nginx.org dhaptar kabeh limang masalah minangka `medium`, nalika F5 CVSS v4.0 lan sawetara agensi keamanan nasional nggolongake telung masalah memori minangka Kritis. Iki ora ateges kabeh limang ngidini eksekusi kode remot tanpa syarat. Konfigurasi, keterjangkauan lalu lintas lan kahanan ing njaba kontrol penyerang. Korupsi memori lan RCE sing bisa dipercaya minangka tingkat bukti sing beda. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1)[S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3)[S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) | CVE | Masalah teknis lan kondisi pemicu sing khas | impact inti | Evaluasi lan Pembuangan | | -------------- | ------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------- | | CVE-2026-15176 | `alias` pemetaan jalur + `rewrite` ngganti URI + evaluasi `$request_filename` | Tumpukan buffer overflow, kacilakan Worker; potensial RCE ing kahanan tartamtu | F5 CVSS v4.0 9.2; prioritas ngatasi masalah | | CVE-2026-93479 | Evaluasi skrip HTTP/Stream, utamane panangkepan regex `map` lan direktori root, referensi silang variabel log | Penyangga dilindhungi undhang-undhang ditindhes lan tumpukan overflows; potensial RCE ing kahanan tartamtu | F5 CVSS v4.0 9.2; minangka risiko mundur sawise ndandani sadurunge | | CVE-2026-97205 | SSI virtual kalebu lan AIO / operasi asinkron; kebanjiran count operasi pinunjul | Gunakake-After-Free, kacilakan Worker, korupsi memori; potensial RCE | F5 CVSS v4.0 9.2; mbutuhake konfigurasi non-standar | | CVE-2026-95101 | HTTP/3 Pigura sing ora dingerteni dipérang dadi buffer, buffering panyuwunan proxy diaktifake | Salah nyuntikake bita non-DATA menyang badan panjalukan hulu, bisa uga ngliwati watesan ukuran awak sing dijaluk | Kerentanan iki mengaruhi integritas panjalukan. Ora dhewe nyedhiyakake eksekusi kode remot (RCE). | | CVE-2026-97629 | Cache Sesi TLS sing dienggo bareng, rotasi tombol otomatis lan pangilonan tombol Worker | Pemalsuan Tiket Sesi; lulus otentikasi sertifikat klien bisa kedadeyan kanggo layanan mTLS sing kena pengaruh | Perhatian khusus kudu dibayar kanggo pengaruh bisnis saka jinis otentikasi sertifikat API | Skor CVSS ing ndhuwur diwenehi dening F5 nggunakake v4.0; kerentanan padha bisa nuduhake keruwetan beda ing CVSS 3.1, nginx.org dhewe gelar lan ratings keruwetan distribusi. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1)[S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3)[S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) ### 1.1 Prioritasake eksposur penyebaran tinimbang mung skor CVE | Formulir penyebaran | Titik investigasi kunci | Rekomendasi prioritas pembuangan | | ----------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------ | ----------------------------------------------------------- | | Proksi mbalikke jaringan umum, kalebu `rewrite` sing disesuaikan, `alias`, lan kompleks `map` | CVE-2026-15176, CVE-2026-93479 lan kerentanan nulis ulang/peta saka Mei nganti Juli | P0: Audit lan nganyari langsung | | API / Pesawat manajemen nggunakake sertifikat klien minangka siji-sijine utawa otentikasi mlebu utama | Tiket Sesi lan konfigurasi cache bareng CVE-2026-97629 | P0: Langsung konfirmasi wates otentikasi lan nganyari | | Nyedhiyakake unggahan HTTP/3 eksternal, antarmuka pangowahan status, kelas transaksi API | CVE-2026-95101, utamane badan panyuwunan diproksi menyang backend | P0/P1: Atur miturut wigati bisnis | | SSI Kaca dinamis utawa file asinkron I/O | CVE-2026-97205 | P1: Konfirmasi kahanan kombinasi lan ndandani sanalika bisa | | Mung kaca statis + prasaja HTTP/1.1/2 proxy mbalikke | Konfigurasi lan versi isih kudu diaudit, nanging sawetara kondisi CVE bisa uga ilang | P1: Klebu ing jendhela upgrade keamanan darurat | | Gunakake pensiun Kubernetes Komunitas ingress-nginx | Proyèk iki mandheg pangopènan keamanan, lan risiko ora diwatesi ing limang CVE iki | Nggawe rencana migrasi pengontrol individu | P0/P1 minangka saran pembuangan operasi lan pangopènan sing diwenehake ing artikel iki kanggo paparan jaringan umum lan sensitivitas sertifikasi. Iku dudu klasifikasi CVSS resmi, utawa ora kudu ngganti aset internal perusahaan lan penilaian risiko pangowahan. ### 1.2 Tapel wates lan ijin serangan Kerentanan inti ing kumpulan iki utamane ana ing NGINX Data Plane: titik entri serangan yaiku sambungan lan panjaluk klien, lan pengaruh nyata biasane ana ing proses Worker. Yen kahanan exploitable kanggo korupsi memori ketemu, ijin eksekusi kode umume diwatesi dening pangguna mlaku, alangan wadhah, kemampuan Linux, soyo tambah lan ijin jaringan saka Worker; potensial RCE ora kanthi otomatis nuduhake hak istimewa root utawa kompromi inang. [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) Nanging sanajan proses kasebut ora duwe hak istimewa, bisa uga duwe akses menyang kredensial proxy, file sing bisa diwaca sing ngemot kunci pribadi sertifikat, token layanan hulu, file sementara, API internal, lan jaringan sing bisa diakses. Kanggo mTLS, otentikasi lulus dhewe bisa dadi konsekuensi bisnis sing serius, lan ora kudu diiringi eksekusi kode. ## 2. Analisis sabab ### 2.1 Ngerti telung wates sing rawan kesalahan ing NGINX NGINX worker minangka proses sing umure dawa, adhedhasar acara sing njaga status panjaluk, operasi asinkron lan parser protokol. Kerentanan iki ngemot kendala ing telung tingkat teknik: 1. evaluasi variabel lan ukuran memori kudu konsisten: `rewrite` Sawise ngganti request URI, path mapping kudu konsisten karo `location` saiki efektif; nalika interpreter script ngetung dawa variabel, spasi nulis kudu nutupi output nyata lan wilayah dilindhungi undhang-undhang. 2. operasi Asynchronous kudu ngluwihi siklus urip memori dijaluk: Nalika ana file durung rampung maca lan nulis, cache nunggu utawa tugas thread, blumbang memori request cocog ora bisa dirilis ing advance. 3. status protokol lan status keamanan ora bisa pipis utawa tilar: HTTP/3 Dawane pigura ora dingerteni skipping ora bisa dianggep minangka DATA dawa awak request; TLS Kabeh slot tombol sing melu verifikasi tandha kudu diinisialisasi kanthi bener lan disinkronake sajrone rotasi tiket sesi. Isi ing ngisor iki adhedhasar NGINX upstream fix commit lan woro-woro vendor kanggo nerangake mekanisme kegagalan sing bisa dipicu; pecahan conto kanggo analisis, ora kode lengkap sing bisa langsung digunakake kanggo ndandani lingkungan produksi. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5)[S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6)[S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7)[S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8)[S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9) ### 2.2 CVE-2026-15176: Pemetaan path antarane `alias` lan URI ditulis maneh ora bener. Ing NGINX, `location` sing cocog lan `alias` nemtokake path file; `rewrite` bisa ngganti panjalukan saiki URI. Sawise nulis maneh, asumsi sing digunakake dening pemetaan `location` asli bisa uga ora ana maneh. Jalur pangolahan sing kena pengaruh ora mriksa manawa panyuwunan kasebut ditulis maneh nalika mriksa status `alias` ing `ngx_http_map_uri_to_path()`. Nalika konfigurasi terus kanggo ngira-ngira `$request_filename` sawise nulis maneh, path bisa dibangun karo asumsi sing ora cocog karo negara URI saiki, pungkasanipun micu metu saka wates nulis menyang memori numpuk. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5) Kombinasi khas (mung digunakake minangka conto kontra kanggo audit konfigurasi, panyebaran ora dianjurake): ```nginx # 仅用于识别风险模式：不是修复配置 location /foo/ { alias /srv/alias-root/; rewrite ^/foo/.*$ /new-path; return 200 $request_filename; } ``` Bebaya ora winates kanggo `return` : `set` , `if` , `add_header` , `log_format` , etc uga kudu diaudit yen `$request_filename` evaluasi micu ing proses request padha. `return` ing conto mung ndadekake dalan negara iki gampang kanggo ndeleng, iku ora bisa digunakake kanggo infer sing kabeh konfigurasi produksi bakal gawé overflows. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5) [S10](https://keendigit.com/jv/insights/nginx-remediation-guide#source-10) Akibat saka serangan: Nggawe panjalukan bisa nyebabake Worker miwiti maneh utawa gangguan layanan; ing kahanan kayata ASLR ditutup utawa bisa dilewati, ana potensial RCE. Inti saka tembelan hulu iku nolak kanggo ngrampungake URI pemetaan path ditulis maneh ing konteks `alias` sing ora bener maneh, tinimbang mung ngembangaken buffer tartamtu. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5)[S10](https://keendigit.com/jv/insights/nginx-remediation-guide#source-10) ### 2.3 CVE-2026-93479: Ora cocog antarane "ruang sing dilindhungi" lan dawa variabel nyata ing evaluasi skrip Modul HTTP lan Stream saka NGINX duwe evaluator skrip sing nggabungake string literal lan nilai variabel menyang string asil. Conto aplikasi kalebu jalur dokumen HTTP root, jalur log akses, lan ekspresi variabel ing Stream. Konfigurasi tartamtu saka `map` + ekspresi reguler ngidini nilai sing dijupuk bisa diwaca dening ekspresi liyane sadurunge variabel asil `map` dievaluasi. Digabungake karo cara eksekusi script karo dawa dilindhungi undhang-undhang, implementasine lawas bakal ngetung `len` papan dilindhungi undhang-undhang menyang accumulator dawa dievaluasi ing advance, supaya petungan pitunjuk nulis sakteruse ora maneh konsisten karo wates buffer. Ing urutan evaluasi variabel tartamtu, tulisan senar sakteruse bisa nimpa area sing dilindhungi, nyebabake kebanjiran tumpukan. [S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6) | unsur partisipatif | Apa iku worth mbayar manungsa waé kanggo | | ------------------------------------ | ---------------------------------------------------------------------------------------------------- | | regex ing `map` | Evaluasi variabel jupuk bisa duwe siklus urip mandiri lan prilaku caching | | Jupuk anonim kayata `$1`, `$2`, lsp. | Gampang ditimpa dening ekspresi utawa ekspresi reguler liyane, dadi angel kanggo nglacak kepemilikan | | Variabel ing `root` | Eksekusi skrip lan reservasi buffer nalika micu bangunan path | | `log_format`/Path log dinamis | Jinis evaluasi sing padha bisa uga dipicu mengko ing panyuwunan | | Ekspresi skrip ing `stream` | Perbaikan hulu uga ngowahi `ngx_stream_script_run()`. Sampeyan ora bisa mung mriksa modul HTTP. | Hubungan regresi penting: Kode sing ana gandhengane karo kerentanan iki ana gandhengane karo owah-owahan sadurunge sing tetep CVE-2026-42533. DSA resmi kanggo Debian 13 kanthi jelas nyatakake yen kode sing kena pengaruh kasebut dikenalake menyang paket trixie liwat backport keamanan sadurunge. Mulane, "Juli `map` tembelan kerentanan wis diinstal" ora ateges sing Oktober CVE-2026-93479 wis dijamin; chain fix keamanan lengkap kudu dicenthang. [S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6)[S14](https://keendigit.com/jv/insights/nginx-remediation-guide#source-14)[S17](https://keendigit.com/jv/insights/nginx-remediation-guide#source-17) Risiko RCE potensial ing kene ana hubungane karo lingkungan perlindungan memori, lan ora kudu diklaim yen regex `map` mung bisa dimanfaatake dening panyerang anonim. [S11](https://keendigit.com/jv/insights/nginx-remediation-guide#source-11) ### 2.4 CVE-2026-97205: AIO Ora rampung operasi count wraparound nyebabake Gunakake-Sawise Gratis Kerentanan iki ora mung "nguripake SSI lan sampeyan bakal entuk UAF". Tombol dumunung ing count referensi operasi bedo dianakaké dening panjalukan utama. NGINX Gunakake `r->main->blocked` kanggo trek Processing bedo sing durung rampung, ing implementasine lawas iku 8-dicokot count; sawetara dalan ora nindakake mriksa watesan ndhuwur sadurunge nambah count. Nalika panjalukan utama padha accumulates 256 operasi pinunjul, count bisa Lebokake watara saka 255 kanggo 0. pangolahan sakteruse bakal keliru pracaya sing ora ana operasi bedo nyegah panjalukan saka dirilis, mangkono ngeculake blumbang memori request sing isih referensi dening tugas. [S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7) Proses gagal bisa dipérang dadi: 1. Kanthi Asynchronous I / O / path thread aktif, kaca SSI pirso sawetara subrequests utawa maca operasi liwat `include virtual`. 2. Operasi pinunjul saka panjalukan utama tartamtu diklumpukake nganti wates ndhuwur sing dituduhake dening kolom count. 3. Count 8-bit dibungkus, salah ditulis minangka "ora ana operasi sing ditundha". 4. Kolam memori panjalukan dirilis, nalika file diwaca, cache ngenteni, utawa callback tugas thread isih tetep referensi. 5. Callback completion asynchronous sakteruse ngakses memori sing dirilis, nyebabake UAF, Worker kacilakan utawa potensial korupsi memori. Perbaikan resmi nambahake `NGX_HTTP_MAX_BLOCKED 250` menyang file header request, lan nambah watesan kanggo filter output, maca cache, lan jalur Utas hulu; nalika batesan wis tekan, operasi karo path diselarasake rampung synchronously, lan yen padha ora bisa diproses kanthi aman, Kajaba saka tugas sing ditundha bakal ditolak. [S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7) pangadilan applicability: Iku kudu mandhiri apa SSI, AIO, Gawan virtual, subrequests lan operasi bedo related bisa dumadi ing kombinasi ing chain request padha. Iki biasane dudu konfigurasi proxy statis standar. `aio off;` utawa `ssi off;` bisa mbusak unsur pemicu tartamtu, nanging dependensi fungsi bisnis kudu dikonfirmasi dhisik. [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4)[S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7)[S25](https://keendigit.com/jv/insights/nginx-remediation-guide#source-25) ### 2.5 CVE-2026-95101: HTTP/3 pigura sing ora dingerteni bingung karo status badan panyuwunan DATA Parser pigura HTTP/3 kudu mbedakake antarane pigura `DATA` (sing kudu dikirim menyang pangolahan awak request HTTP) lan pigura sing ora dingerteni sing kudu dilewati. Dawane pigura sing ora dingerteni uga kudu dijaga kanthi akurat nalika fragmentasi ing buffer jaringan. Implementasine `ngx_http_v3_parse_data()` lawas nggunakake lapangan `st->length` kanggo nyimpen "nomer bita sing isih kudu dilewati" nalika nglewati pigura sing ora dingerteni, nalika filter awak panyuwunan nerangake lapangan sing padha karo "sisa DATA dawa muatan". Yen pigura sing ora dingerteni kedadeyan nganti pirang-pirang panggilan parse, kumpulan bita sabanjure sawise parsing diganggu bisa uga salah minangka bagean saka badan panyuwunan. [S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8) Ana rong jinis risiko: - injeksi awak request: Beban pigura non-DATA dikirim dening klien bisa ditularaké kanggo aplikasi hulu, ngganti data bener ditampa dening backend. - watesan ukuran bypass: `client_max_body_size` lan watesan liyane. Pemriksaan sing dikarepake dikonsentrasi ing jalur DATA, lan konten sing diowahi kanthi salah bisa ngliwati verifikasi sing cocog. Skenario pemicu khas sing diterangake dening pejabat yaiku nalika `ngx_http_v3_module` nampa panjaluk HTTP/3 lan nerusake `proxy_request_buffering on`. Proxy request body buffering diaktifake kanthi gawan ing `ngx_http_proxy_module`. Mulane, proxy mbalikke sing nguripake HTTP/3 kudu dipriksa dhisik. Ora cocog kanggo nganggep ora ana kondisi pemicu mung amarga `proxy_request_buffering on;` ora ditulis kanthi jelas. [S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8)[S18](https://keendigit.com/jv/insights/nginx-remediation-guide#source-18) Konsekuensi langsung saka kerentanan iki kalebu integritas panyuwunan backend lan owah-owahan wates keamanan, sing dudu ekspresi sing padha karo RCE langsung rampung ing inti NGINX. Dampak bisnis utama gumantung kepiye carane bait kasebut diurai lan dipercaya ing hulu. [S24](https://keendigit.com/jv/insights/nginx-remediation-guide#source-24) ### 2.6 CVE-2026-97629: TLS Rotasi tiket ora ana slot tombol katelu Ing konfigurasi sing kena pengaruh, NGINX kanthi otomatis bisa ngasilake lan muter tombol Tiket Sesi TLS liwat cache memori sing dienggo bareng, ngidini sawetara Worker ngolah tiket sing padha. Logika sinkronisasi sing cocog nyedhiyakake 3 slot tombol kanggo saben Worker, lan decryption callback uga bakal ngliwati slot kasebut; nanging implementasine lawas mung salinan 2 slot tombol saka memori sambungan saben wektu, asil ing jeneng tombol, tombol HMAC lan AES saka slot katelu. Tombol bisa tetep uninitialized. Yen pengenal kunci tiket cocog karo status iki, materi kunci sing ora dikawruhi bisa digunakake kanggo verifikasi lan dekripsi teken, saéngga mbentuk dalan kanggo nggawe sesi TLS. [S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9) Kombinasi panyebaran beresiko dhuwur biasane: ```nginx # 仅为排查触发条件所示：共享缓存本身不是恶意配置 ssl_session_cache shared:SSL:10m; # 未显式配置 ssl_session_ticket_key 文件，使用自动轮换机制 ``` Konsekuensi bisnis sing paling serius saka kerentanan iki yaiku ing layanan sing nggunakake otentikasi sertifikat klien (mTLS) ing `ssl_verify_client on;` lan cara liyane, sesi pemulihan palsu bisa ngliwati verifikasi sertifikat klien. Sukses serangan uga tundhuk kahanan sing ora bisa dikendhaleni; situs sing mung nggunakake sertifikat HTTPS sisih server normal lan ora ana otentikasi sertifikat klien ora kena mischaracterized minangka "penyerang bisa ngliwati kabeh login situs web." [S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9)[S12](https://keendigit.com/jv/insights/nginx-remediation-guide#source-12) Iki minangka masalah status bukti asli sesi TLS lan ora ana hubungane karo apa kunci pribadi TLS server retak utawa sertifikat CA root umum kena pengaruh. [S24](https://keendigit.com/jv/insights/nginx-remediation-guide#source-24) ### 2.7 Kepiye ngerti DoS, RCE, bypass otentikasi lan eksploitasi sing dikenal - DoS: Kesalahan memori nyebabake Worker nabrak utawa urip maneh kanthi cepet. Apa sing nyebabake ora kasedhiya sakabèhé ana hubungane karo tekanan lalu lintas, kemampuan miwiti maneh proses, wektu pangopènan sambungan lan arsitektur kasedhiyan dhuwur. - potensial RCE: Sawetara woro-woro nuduhake yen ana kamungkinan eksekusi kode nalika ASLR ditutup utawa dilewati. Iki ora ateges rantai serangan umum sing bisa nglakokake perintah kanthi stabil lan universal wis dibeberke. [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) - Panjaluk injeksi / otentikasi bypass: Bisa langsung ngganti status bisnis sing dilindhungi utawa njaluk konten, lan ora bisa digatekake mung amarga ora langsung entuk cangkang. - wis nemokake upaya serangan: CVE-2026-42945 ing Mei 2026 duwe laporan kegiatan eksploitasi ing alam bébas; ngirim ora langsung nyimpulake kasunyatan sajarah iki tegese kabeh limang CVEs ing Oktober wis kasil eksploitasi ing ukuran gedhe. [S23](https://keendigit.com/jv/insights/nginx-remediation-guide#source-23) ## 3. Ndandani versi lan pilihan patch ### 3.1 NGINX Open Source resmi patch baseline | cabang hulu | Versi resmi pisanan sing nyakup limang kerentanan ing wulan Oktober | Rekomendasi minangka 2026-10-27 | | ---------------------------------- | ----------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------- | | Stable 1.30.x | 1.30.6（2026-10-14） | Instal paling 1.30.6, lan tindakake munggah karo versi keamanan sakteruse. | | Mainline 1.31.x | 1.31.7（2026-10-14） | 1.31.8（2026-10-21） | | Cabang NGINX Open Source sadurungé | Ora bisa diadili mung adhedhasar "patch kerentanan lawas wis ditrapake" | Migrasi menyang cabang sing dikelola dhisik; yen ora, vendor dibutuhake kanggo nyedhiyani bukti resmi saka backing ing basis CVE-by-CVE. | Iki minangka kesimpulan versi nginx.org kode sumber hulu / cabang resmi, lan ora kudu digunakake kanggo langsung nolak paket keamanan kanthi perbaikan sing diwenehake dening vendor distribusi. Sanajan nilai `1.31.6` luwih gedhe tinimbang `1.30.6`, isih luwih murah tinimbang garis dasar tembelan cabang utama. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1)[S2](https://keendigit.com/jv/insights/nginx-remediation-guide#source-2) ### 3.2 Lingkup dampak hulu saka limang CVE Kisaran ing ngisor iki didaftar miturut teks asli buletin keamanan nginx.org lan kudu dimangerteni bebarengan karo "cabang saiki" lan "path konfigurasi nyata": | CVE | Versi sing kena pengaruh tag hulu | Resmi diwenehi label versi tetep | | -------------- | --------------------------------- | --------------------------------------------------- | | CVE-2026-15176 | `0.1.29–1.31.6` | `1.30.6+` utawa `1.31.7+`, ing cabang masing-masing | | CVE-2026-93479 | `1.30.0–1.30.5`，`1.31.2–1.31.6` | Padha ing ndhuwur | | CVE-2026-97205 | `0.8.11–1.31.6` | Padha ing ndhuwur | | CVE-2026-95101 | `1.25.0–1.31.6` | Padha ing ndhuwur | | CVE-2026-97629 | `1.23.2–1.31.6` | Padha ing ndhuwur | CVE-2026-93479 duwe watesan introduksi-versi tartamtu; ora saben versi NGINX lawas kena pengaruh regresi iki. Versi lawas ing njaba kisaran kasebut bisa uga kena pengaruh kerentanan regex `map` sadurunge CVE-2026-42533. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1) ### 3.3 Ubuntu: distribusi backports (USN-8955-1) Canonical USN-8955-1 26 Oktober 2026 nyedhiyakake nganyari keamanan kanggo papat bangunan Ubuntu: [S13](https://keendigit.com/jv/insights/nginx-remediation-guide#source-13) | Versi Ubuntu | `nginx` lan paket sumber sing padha versi tetep | Katrangan | | ------------ | ----------------------------------------------- | ---------------------------------------------------------- | | 22.04 LTS | `1.18.0-6ubuntu14.22` | Iku backport vendor; nomer versi hulu isih nuduhake 1.18.0 | | 24.04 LTS | `1.24.0-2ubuntu7.19` | Padha ing ndhuwur | | 26.04 LTS | `1.28.3-2ubuntu1.12` | Padha ing ndhuwur | | 26.10 | `1.30.4-7ubuntu1.1` | Padha ing ndhuwur | Pengumuman kasebut ngemot versi tetep saka paket homolog kayata `nginx-core`, `nginx-extras`, `nginx-full`, lan `nginx-light`. Aja nggawe kesimpulan apa bakal ndandani saka bagean hulu mung dituduhake dening `nginx -v`. kayata Ubuntu 24.04 lan `1.24.0-2ubuntu7.19` wis patched dening vendor iki, nanging `1.24.0` saka sembarang sumber ora sipate aman. Ubuntu resmi uga cetha ditandhani sing CVE-2026-95101 mung mengaruhi Ubuntu 26.04 / 26.10 , lan CVE-2026-97629 mung mengaruhi Ubuntu 24.04 / 26.04 / 26.10. Punika Ubuntu 's packaging lan orane katrangan fungsi dhewe, kang ora bisa langsung dipun promosiaken menyang distribusi liyane. [S13](https://keendigit.com/jv/insights/nginx-remediation-guide#source-13) ### 3.4 Debian: Bedane antarane versi kudu dicenthang kanthi kapisah Advisory Debian DSA-6575-1 (2026-10-21) nyakup limang CVE kasebut lan ngenali paket `nginx` tetep kanggo Debian 13 / trixie minangka: ```text 1.26.3-3+deb13u10 ``` Nanging, nalika verifikasi laporan iki, `1.22.1-9+deb12u10` kanggo Debian 12 / bookworm isih ditandhani minangka rentan dening Debian Security Tracker. Mulane: - Debian 13 Mung nganyari lan nampa miturut DSA-6575-1. - Debian 12 kudu mriksa mbenakake keamanan sing diwenehake dening Pelacak Keamanan saiki utawa vendor ELTS siji-siji; sadurunge fix dikonfirmasi ing woro-woro, aja nyatakake yen kabeh limang item wis didandani adhedhasar sukses `apt upgrade`. - Paket sumber Debian bisa uga nggawa set tembelan independen saka nomer versi nginx.org. Kanggo mbangun adat, sampeyan kudu mriksa paket lengkap kode sumber paket fix, lan sampeyan ora bisa mung nyalin commit hulu siji lan nimbang lengkap. Bedane ing ndhuwur adhedhasar rekaman pelacakan DSA lan CVE. [S14](https://keendigit.com/jv/insights/nginx-remediation-guide#source-14)[S15](https://keendigit.com/jv/insights/nginx-remediation-guide#source-15)[S16](https://keendigit.com/jv/insights/nginx-remediation-guide#source-16) ### 3.5 NGINX Plus, njs lan Pengontrol Ingress | Produk/Komponèn | Poin Kunci Pilihan lan Verifikasi Keamanan | | ----------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | NGINX Plus (versi komersial) | Mangga deleng pandhuan woro-woro lan upgrade saka cabang Plus sing cocog karo F5. CR paling anyar nalika verifikasi yaiku `PLS.37.2.0.1`, lan keamanan LTS yaiku `PLS.37.0.7.1`; versi Plus lan backport klebu ora bisa langsung diganti dening Open Source kang 1.30 / 1.31 batesan. [S19](https://keendigit.com/jv/insights/nginx-remediation-guide#source-19) | | njs / ngx\_http\_js\_module | 2026-10-14 ngeculake `njs 1.0.2` lan ndandani CVE-2026-101019 lan CVE-2026-101025; yen sampeyan nggunakake njs, sampeyan uga kudu mriksa kompatibilitas modul karo NGINX. [S20](https://keendigit.com/jv/insights/nginx-remediation-guide#source-20) | | F5 NGINX Ingress Controller / Gateway Fabric | Inti NGINX minangka rantai distribusi piranti lunak sing gegandhengan nanging independen. Ndandani kerentanan sing cocog karo pengontrol, gambar lan cathetan rilis masing-masing. Sampeyan ora bisa mung ngganti binar NGINX ing Pod. | | Komunitas Kubernetes `kubernetes/ingress-nginx` | Proyèk iki dipatèni ing Maret 2026 lan ora bakal nyedhiyani pangopènan keamanan anyar. Sampeyan kudu rencana pindhah menyang controller maintained utawa Gateway API tinimbang salah nomer release kanggo F5 NGINX Ingress Controller. [S21](https://keendigit.com/jv/insights/nginx-remediation-guide#source-21) | ### 3.6 Patch sing kudu sampeyan pilih? | Formulir penyebaran | Praktek sing disaranake | Bukti ndandani | | ------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------- | | nginx.org resmi DEB/RPM paket | Nganyarke menyang versi tetep saka cabang hulu | `nginx -v/-V`, sumber paket, pengumuman keamanan resmi | | Repositori resmi Ubuntu/Debian | Instal paket keamanan vendor | Versi paket lengkap + vendor USN/DSA + status CVE | | RHEL / Alma / Rocky / SUSE / Distribusi liyane | Nganyarke miturut buletin keamanan distribusi tartamtu lan versi paket | CSAF/pengumuman vendor sing cocog, versi Ubuntu/Debian ora bisa ditrapake | | Gambar wadhah resmi utawa khusus | Mbangun maneh utawa narik gambar ndandani diverifikasi lan ngganti ing basis rolling | Digest gambar, mbangun SBOM, mlaku pod / ID gambar wadhah | | NGINX sing disusun dhewe, OpenResty, Tengine utawa versi sing ditambal nganggo modul pihak katelu | Prioritas nggunakake versi keamanan lengkap maintainer; nindakake backports patch dideleng kanggo wit sumber target yen perlu | Limang koreksi kerentanan, kompatibilitas ABI/modul, unit lan regresi bisnis | OpenResty lan Tengine minangka sistem rilis sing beda; tabel iki mung njlèntrèhaké cara verifikasi. ora ateges sing kabeh versi sing kena pengaruh ing wektu sing padha NGINX standar, utawa patch kode hulu bisa Applied tanpa syarat. ## 4. Proses ndandani formal ### 4.1 Inventarisasi kedadeyan nyata kanggo nampa lalu lintas eksternal Kumpulake kanggo saben entri paling ora: - Jeneng domain, load balancing/CDN/link proksi pinggiran, metode paparan situs asal lan protokol jaringan sing digunakake. - Produk NGINX (Open Source, Plus, Ingress, etc.), versi lengkap, sumber repositori paket, gambar digest. - `nginx -V` nampilake modul bangunan lan paramèter kompilasi; apa ana njs, Lua, OpenResty, lan modul dinamis pihak katelu. - Nyata mlaku master / worker PID, Unit Service / Wadah / Pod, Replika lan Worker Node. - Konfigurasi efektif `http`/`stream`, `server`, `location`, `include`. - Apa ngaktifake HTTP/3, mTLS, SSI / AIO, path log dinamis, kompleks `map` lan regex capture. Aja mung mriksa standar `/etc/nginx/nginx.conf`. Lingkungan produksi asring akeh situs, TLS lan konfigurasi modul liwat `include`. Bisa uga ana sawetara jalur instalasi NGINX utawa pirang-pirang lapisan proxy. ### 4.2 Priksa versi lan informasi kompilasi ```bash # NGINX 版本及构建选项 nginx -v nginx -V 2>&1 # Linux：查看实际运行的 NGINX 进程 ps -eo pid,ppid,user,comm,args | grep '[n]ginx' # Debian / Ubuntu：查看完整已安装包版本、来源 apt-cache policy nginx # 兼顾 nginx-core / nginx-full / nginx-extras 等实际已安装包 dpkg-query -W 'nginx*' 2>/dev/null # RPM 系：以实际安装包及仓库公告为准 rpm -qa | grep '^nginx' ``` `nginx -V` nglaporake mbangun binar sing ditemokake ing jalur baris perintah; iku ora mbuktekaken sing mlaku worker wis dimuat. `nginx -v` bisa uga ngilangi sufiks paket lengkap distribusi, mula priksa manajer paket utawa cathetan rantai pasokan. ### 4.3 Ekspor konfigurasi efektif lan nindakake babak pisanan screening statis `nginx -T` bakal nyoba konfigurasi lan mbucal konfigurasi gabungan. Output bisa ngemot informasi sensitif kayata kredensial otentikasi, path tombol, jeneng host internal, etc. Disaranake kanggo nyimpen terminal kontrol karo root ijin lan ijin file pribadi, lan ora ngirim file asli kanggo pesenan karya umum: ```bash sudo sh -c 'umask 077; nginx -T > /root/nginx-effective.conf 2> /root/nginx-config-check.log' sudo grep -nE \ 'alias|rewrite|map[[:space:]]|request_filename|aio[[:space:]]|ssi[[:space:]]|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_ticket_key|ssl_session_tickets|ssl_verify_client|log_format|root[[:space:]]' \ /root/nginx-effective.conf ``` Iki mung calon path locator, dudu alat tekad otomatis CVE sing bisa dipercaya: 1. `grep` ora bisa nemtokake manawa variabel kasebut ana ing `location` sing padha utawa rantai evaluasi panyuwunan sing padha, utawa ora bisa nyimpulake hubungan warisan konfigurasi. 2. `proxy_request_buffering on`, sawetara cache lan konfigurasi tiket duwe nilai gawan, lan ora nulis instruksi cocog ora ateges sing resiko ilang. 3. Konfigurasi sing digawe dening proxy mbalikke, CDN, sidecars wadah, utawa pengontrol bisa uga beda karo file sing dipriksa kanthi manual. 4. Karakteristik `NGINX Plus` lan modul dinamis bisa uga kudu dikonfirmasi nggunakake alat manajemen resmi masing-masing. ### 4.4 Deploy fix liwat saluran sing dipercaya Debian/Ubuntu (gudang distribusi resmi): ```bash sudo apt-get update apt-cache policy nginx # 升级发行版仓库中已经安装的 NGINX 及相关包； # 先确认 Candidate 属于修复版本，再执行升级。 sudo apt-get install --only-upgrade nginx # 对实际安装的 nginx-core / nginx-full / nginx-extras 等包 # 确认它们的版本和依赖一同达到厂商修复要求。 dpkg-query -W 'nginx*' 2>/dev/null ``` Setel printah iki ora bisa ngasilake perbaikan keamanan saka hawa tipis sing durung kasedhiya. Utamane kanggo Debian 12, yen paket sing dianyarke isih dianggep rentan dening sistem pelacakan keamanan, perbaikan vendor tambahan, pamisahan utawa langkah migrasi dibutuhake. [S13](https://keendigit.com/jv/insights/nginx-remediation-guide#source-13)[S14](https://keendigit.com/jv/insights/nginx-remediation-guide#source-14)[S15](https://keendigit.com/jv/insights/nginx-remediation-guide#source-15) Paket resmi nginx.org: ```bash # 先确认仓库来自 nginx.org、目标分支和候选版本 apt-cache policy nginx # 经变更审批后再执行对应仓库的升级命令 sudo apt-get install --only-upgrade nginx ``` Yen nggunakake poto-nyawiji, OpenResty, Tengine utawa NGINX Plus, nggunakake versi fix didhukung dening maintainer cocog lan ora nyampur nginx.org, distribusi lan paket gudang pihak katelu. Binari/gambar asli, konfigurasi, teken, lan manifes panyebaran rollback kudu dilestarekake. Kontainer / Kubernetes: nganyari gambar sing ora bisa diowahi, ngrekam pencernaan lan ngganti kabeh replika lawas kanthi rollout bertahap. `kubectl rollout status` mung negesake manawa pengontrol penyebaran wis rampung; uga verifikasi gambar digests, ingress nuntun lan replika nglarakake. ### 4.5 Verifikasi konfigurasi lan ngganti Worker lawas ```bash sudo nginx -t # 按服务实际名称、主机高可用和变更窗口执行重启 sudo systemctl restart nginx sudo systemctl status nginx --no-pager # 核查真正存在的 master / worker ps -eo pid,ppid,user,comm,args | grep '[n]ginx' ``` Aja nganggep `nginx -s reload` minangka bukti yen binar anyar lagi mlaku: konfigurasi biasa ngisi ulang ngidini master lawas miwiti buruh anyar tanpa ngganti eksekusi. NGINX ndhukung prosedur upgrade binar online khusus, nanging mbutuhake langkah lan verifikasi tambahan. Tanpa prosedur sing ditetepake, gunakake saklar lalu lintas sing kasedhiya kanthi dhuwur banjur miwiti maneh layanan, utawa gulungake wadhah panggantos. [S22](https://keendigit.com/jv/insights/nginx-remediation-guide#source-22) Yen sampeyan ngatur NGINX liwat soket `systemd`, skrip entri wadhah, utawa macem-macem instalasi, sampeyan kudu mriksa target peluncuran lan proses proses tinimbang langsung nganggep yen `systemctl restart nginx` nyakup kabeh kedadeyan. ### 4.6 Nampa lan nindakake kemunduran bisnis saka ngleboke njaba nyata Dianjurake kanggo nindakake paling ora: - Apa HTTPS normal, rute sing ditulis ulang, sumber daya statis, lan kaca pemetaan `alias` bener. - Apa distribusi `map` biasa, path variabel root, path log akses, rute SNI / sertifikat, lan proxy Stream bener. - Apa upload normal, upload potongan, panjalukan API lan watesan volume hulu kanggo HTTP/3 (nalika diaktifake) isih kaya sing dikarepake. - mTLS: Panjaluk sertifikat sing sah kudu sukses; ilang, kadaluwarsa, utawa sertifikat ora sah kudu isih ditolak, lan TLS resumption / reconnection ngirim ora sengaja ngganti ijin. - Apa kaca SSI lan akses file asinkron normal; log kesalahan nuduhake ora panjalukan abnormal kanggo referensi memori utawa kacilakan Worker bola-bali. - Sawise ngalih lalu lintas, proses versi lawas lan replika gambar lawas kudu metu. Tes kudu ditindakake ing lingkungan dhewe utawa sah. Tes kumelun panjaluk normal ora bisa mbuktekake manawa kerentanan memori wis diatasi; wekasanipun, versi tetep supplier kang, kode sumber patch lan test runtime kudu bebarengan ditampa kanggo acceptance. ## 5. Mitigasi ngukur nalika upgrade langsung ora bisa Bagean iki minangka pilihan nyuda resiko, dudu panggantos tembelan. Kabeh owah-owahan konfigurasi sauntara kudu digawe serep, kaleksanan `nginx -t`, dirilis ing kumpulan, lan cepet mbalek maneh yen perlu. [S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3)[S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) ### 5.1 Kontrol prioritas lalu lintas adhedhasar eksposur eksternal Prioritas ngurangi lumahing serangan layanan sing ora bisa nganyari ing wektu: ing lumahing manajemen lan internal API Tambah kontrol akses sumber dipercaya, isolasi jaringan hulu utawa offline short-term; nambah sambungan, njaluk watesan awak lan tarif menyang lawang sing beresiko dhuwur; mesthekake yen otentikasi sumber dumadi ing NGINX sing gegandhengan karo entri sadurunge chain Processing request. Sampeyan kudu nyatet sing paling saka kerentanan dhewe dumunung ing NGINX Nang pesawat data, tradisional WAF Aturan bisa ora kanthi akurat nemtokake kahanan pemicu konfigurasi khusus. ### 5.2 `alias` / `rewrite`: aja ngevaluasi `$request_filename` sawise nulis maneh Dianjurake kanggo mriksa lan nyetel: - Coba aja nindakake `rewrite` sing bakal ngganti URI bebarengan karo `location` nggunakake `alias`. - Aja nggunakake `$request_filename` nalika URI wis ditulis maneh nanging pertandhingan posisi sing bener durung rampung. - Priksa referensi variabel ora langsung ing `return`, `set`, `if`, `add_header`, format log akses, lan kalebu file. - Gunakake `root` / `try_files` / `location` sing cetha nalika ijin bisnis, nanging mung ngganti `alias` dadi `root`. Bisa uga ngganti semantik path file, sing kudu diverifikasi siji-siji. Aja langsung nyalin "cithakan nulis ulang aman" umum ing Internet kanggo nimpa konfigurasi sing wis ana. Ater-ater `location` sing beda-beda lan target nulis ulang nyebabake splicing path kanthi makna sing beda. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5) ### 5.3 `map`/Regex: Ngurangi pencampuran status variabel capture Disaranake kanggo menehi prioritas jupuk sing dijenengi lan mbatesi ruang lingkup panyebaran, tinimbang ngidini panangkepan anonim kayata `$1` digunakake maneh ing macem-macem jalur evaluasi regex saka wektu. Contone: ```nginx # 演示具名捕获的结构，实际变量名和匹配表达式须按业务调整 map $host $tenant_root { default /srv/www/default; ~^(?[a-z0-9-]+)\.example\.net$ /srv/www/$tenant; } ``` Cuplikan iki mung nduduhake struktur kepemilikan variabel sing luwih gampang diaudit; ora ateges sing wis buktiaken independen ngilangke kabeh CVE-2026-93479 dalan pemicu kanggo. Utamane, priksa manawa variabel panangkepan dirujuk luwih dhisik dening `root` utawa `log_format` liyane, lan manawa ana `volatile`, jalur dinamis, lan rantai evaluasi sing saling gumantung. F5 / CERT nyaranake nggunakake dijupuk jeneng lan matesi orane katrangan saka nggunakake kanggo konfigurasi cocog biasa cocog minangka relief short-term. [S3](https://keendigit.com/jv/insights/nginx-remediation-guide#source-3)[S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6) ### 5.4 AIO + SSI: Mateni kombinasi fungsi sing ora perlu Kanggo server/path sing ora mbutuhake SSI utawa file Asynchronous I/O, gunakake: ```nginx # 在适当的 http/server/location 上下文中配置 ssi off; aio off; ``` Saka perspektif kondisi pemicu kerentanan, nutup salah siji saka loro biasane cukup kanggo mbusak chain tartamtu diterangake; nutup ing wektu sing padha mung ditrapake kanggo skenario ngendi bisnis ora gumantung ing kemampuan iki. Priksa `include virtual`, subrequests, cache, lan prilaku blumbang thread; nalika mbukak proxy mbalikke dhuwur, mateni AIO bisa ngganti latensi lan kinerja I/O. [S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7) ### 5.5 HTTP/3 Nyuwun injeksi awak: nutup lawang mlebu yen perlu Nonaktifake `quic` pamireng melu HTTP/3 , mbatalake `Alt-Svc` header respon sing ngumumake HTTP/3 , lan priksa manawa lapisan pinggiran / imbangan beban isih dikirim QUIC panjalukan langsung menyang unrepaired NGINX : ```nginx # 示意：保留 HTTPS/TCP；暂时移除此前的 QUIC/UDP listen server { listen 443 ssl; # 保留 HTTPS/TCP 入口 # 对支持新版语法的构建，可在此使用 http2 on; # 删除原有的 listen 443 quic reuseport; # 删除原有的 add_header Alt-Svc ...;（仅限宣传 h3 的那项） # 其余证书、server_name、location 等配置保持不变 } ``` Ing ndhuwur mung gambaran saka prabédan owah-owahan, ora konfigurasi server lengkap sing bisa diaktifake individu. Sintaks setelan HTTP/2 gegandhengan karo versi NGINX; yen sampeyan kudu nahan HTTP/2, sampeyan kudu nggunakake `http2 on;` utawa sintaks sing ana sing bener miturut versi sing cocog, lan priksa karo `nginx -t`. kudu digabung karo konfigurasi server sing ana sadurunge penyebaran, tinimbang ngganti kabeh bagean karo bagean iki. uga mriksa UDP 443 firewall, lokasi mandap HTTP/3 lan path fallback klien saka CDN / proxy ngarep. Jinis mitigasi jangka pendek liyane yaiku nggunakake `proxy_request_buffering off;` ing jalur proxy sing kena pengaruh, nanging iki bakal ngganti prilaku streaming awak panyuwunan hulu, nyoba maneh gagal, lan sawetara alur kerja unggahan; mung digunakake sawise tes lan konfirmasi sing cukup manawa arahan kasebut tekan jalur proxy HTTP/3 sing kena pengaruh. [S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8)[S18](https://keendigit.com/jv/insights/nginx-remediation-guide#source-18) ### 5.6 TLS Tiket Sesi: Proteksi prioritas mTLS Watesan otentikasi Yen nganyarke ora bisa ditindakake lan conto kasebut gumantung ing cache sesi bareng + rotasi kunci tiket otomatis, evaluasi: ```nginx # 在 nginx http/server 适当作用域进行配置 ssl_session_tickets off; ``` Iki bisa mateni mekanisme Tiket Sesi TLS, saéngga mbusak jalur pemalsuan tiket sing diterangake ing kerentanan iki; Nanging, bisa uga mengaruhi kinerja resume sesi. Sampeyan ora bisa mung mateni verifikasi sertifikat klien mTLS kanggo "nyegah kerentanan", amarga bakal langsung mbusak wates otentikasi asli. [S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9)[S12](https://keendigit.com/jv/insights/nginx-remediation-guide#source-12) File `ssl_session_ticket_key` sing eksplisit lan rotasi aman uga bisa digunakake dening proses manajemen TLS profesional kanggo ngatasi kahanan sing digawe kanthi otomatis, nanging hak asuh kunci, distribusi simpul lengkap, rotasi, lan siklus urip tiket lawas kabeh kudu diaudit kanthi teliti. Ora dianjurake kanggo hardcode kunci sing bisa digunakake maneh ing konfigurasi web biasa utawa skrip kanggo kahanan darurat sementara. Layanan kritis sing nggunakake mTLS uga kudu dipantau kanggo tumindak maneh sesi TLS lan nolak panjaluk tanpa sertifikat klien sing sah. [S12](https://keendigit.com/jv/insights/nginx-remediation-guide#source-12) ### 5.7 Peranan sistem operasi lan proteksi wates ```bash # Linux：常见值 2 表示进程地址空间随机化处于完整启用状态 sysctl kernel.randomize_va_space ``` ASLR, buruh non-root, sistem file wadhah mung diwaca, ijin file minimal lan isolasi jaringan bisa nyuda pengaruh potensial RCE. ASLR ora ndandani tumpukan overflows utawa UAF lan ora bisa njamin yen buruh ora bakal nabrak. WAF, watesan tarif lan njaluk watesan ukuran awak ora ndandani TLS sinkronisasi tombol Tiket. [S4](https://keendigit.com/jv/insights/nginx-remediation-guide#source-4) ### 5.8 Kesalahpahaman umum: Operasi iki ora cukup kanggo ngrampungake ndandani | Operasi umum | Apa sebabe ora cukup? | | -------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------ | | "nginx -v katon relatif anyar" | Cabang sing dadi kagungane, versi paket backported lengkap versi release lan proses online ora dicenthang. | | "Mung siji intranet sing ditingkatake" | Worker lawas / wadhah lawas / conto asli CDN lawas isih nampa panjaluk | | "Situs ora nggunakake tag PHP/dinamis" | Cacat kasebut ana ing jalur inti NGINX utawa parsing protokol lan ora gumantung ing eksekusi PHP. | | "Mbukak WAF/Cloudflare wis cukup" | WAF ora bisa dibuktekake kanggo mblokir kabeh cacat memori gumantung konfigurasi NGINX utawa cacat maneh TLS | | "Wis mbukak ASLR" | Mung njupuk kauntungan saka mitigasi kangelan; DoS kanthi injeksi panyuwunan isih bisa ditindakake | | "HTTP/3 ora katon ing jaringan umum, dadi ora perlu nganyarke kabeh" | Papat CVE liyane isih mbutuhake evaluasi mandiri; lan bisa uga ana sambungan langsung menyang asal-usul sing didhelikake | | "Kerentanan Juli `map` wis diatasi" | Oktober CVE-2026-93479 melu masalah regresi evaluasi skrip | | "Mateni caching ngrampungake kabeh masalah" | Mung mengaruhi sawetara TLS cache utawa AIO skenario, lan ora nutupi alias, script, HTTP/3 | ## 6. Ide implementasi Patch resmi lan titik review Bagean iki nderek perbaikan NGINX hulu Oktober 2026. Cuplikan nggambarake owah-owahan wakil kanggo review patch; padha ora lengkap, independen compilable mbenakake. Kanggo mbangun khusus, deleng komitmen lengkap, kode lan tes sekitar, lan luwih seneng rilis sing didhukung lengkap. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5)[S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6)[S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7)[S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8)[S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9) ### 6.1 CVE-2026-15176: URI wis ditulis maneh kanggo nyakup kahanan penolakan pemetaan jalur `alias` Komit hulu diowahi `ngx_http_map_uri_to_path()` ing `src/http/ngx_http_core_module.c`: ```diff - if (alias && !r->valid_location) { + if (alias && (!r->valid_location || r->uri_changed)) { ``` fokus review: Path sistem berkas ora bisa terus kanggo diwilang nalika URI wis diganti nanging semantik lokasi cocog `alias` ora dipercaya maneh. Iki minangka tambahan kanggo watesan pra-negara. Iku ora prasaja mriksa apa panjalukan URI ngandhut karakter ilegal. [S5](https://keendigit.com/jv/insights/nginx-remediation-guide#source-5) ### 6.2 CVE-2026-93479: Mbedakake kanthi bener antarane dawa data output lan dawa sing dilindhungi Komit hulu nganyari `src/http/ngx_http_script.c` lan `src/stream/ngx_stream_script.c` bebarengan. Tujuan inti bisa diringkes minangka: ```diff - n = len; + n = 0; /* ...计算实际脚本输出长度... */ - value->len = n; - value->data = ngx_pnalloc(pool, n); + value->len = n + len; + value->data = ngx_pnalloc(pool, n + len); ``` Ing kene, `pool` minangka jeneng parameter ilustrasi: ekspresi alokasi HTTP lan Stream nyata beda-beda. Owah-owahan kasebut ngetung dawa output skrip dhisik, banjur nambahake dawa sing dicadhangake menyang alokasi pungkasan supaya output ora nimpa spasi sing dilindhungi. [S6](https://keendigit.com/jv/insights/nginx-remediation-guide#source-6) Nalika audit lan backporting, evaluator cocog HTTP / Stream uga kudu dijamin; mung mriksa file sintaks konfigurasi `map` ora bisa mbuktekaken sing cacat wis didandani. ### 6.3 CVE-2026-97205: Setel ambang safety kanggo jumlah operasi asinkron 8-bit Hulu ditambahake ing `src/http/ngx_http_request.h`: ```c #define NGX_HTTP_MAX_BLOCKED 250 ``` Lan tambahake entri sing padha karo maca file asinkron, nunggu cache, nyaring output lan operasi benang: ```c if (r->main->blocked >= NGX_HTTP_MAX_BLOCKED) { /* 使用同步路径，或者拒绝新的异步操作 */ } ``` fokus review: Kabeh dalan kode nyata sing bakal nambah `r->main->blocked` kudu dijamin. Sampeyan ora bisa mung nulis ambang konstan ing file header. Backport uga kudu mriksa koordinasi lengkap fallback sinkron, callback bedo lan kesalahan bali kanggo mesthekake yen deadlock utawa referensi bocor ora bakal disebabake dening penolakan langsung saka tugas. [S7](https://keendigit.com/jv/insights/nginx-remediation-guide#source-7) ### 6.4 CVE-2026-95101: Njaga status `skip` kanthi kapisah kanggo pigura sing ora dingerteni Hulu nambah lapangan `skip` ing struktur status parser HTTP/3 lan nindakake pemisahan status: ```c if (st->type != NGX_HTTP_V3_FRAME_DATA && st->length > 0) { st->skip = st->length; st->length = 0; st->state = sw_skip; } /* ... */ rc = ngx_http_v3_parse_skip(b, &st->skip); ``` Tombol ora kanggo "mateni pigura HTTP/3 dingerteni", nanging kanggo mesthekake yen liwat macem-macem maca, count byte dilewati lan DATA dawa mbayari tansah ngatur dening negara sawijining. Reviews kudu fokus ing pigura dingerteni cross-buffer sharding, lan konsistensi pungkasanipun `client_max_body_size`. [S8](https://keendigit.com/jv/insights/nginx-remediation-guide#source-8) ### 6.5 CVE-2026-97629: Nyelarasake susunan slot tombol TLS lengkap Owah-owahan hulu dumunung ing `src/event/ngx_event_openssl.c`: ```diff ngx_memcpy(keys->elts, cache->ticket_keys, - 2 * sizeof(ngx_ssl_ticket_key_t)); + keys->nelts * sizeof(ngx_ssl_ticket_key_t)); ``` Gambar asli ngemot telung slot tombol, nanging mung loro pisanan sing disalin. Nanging, nyinkronake adhedhasar nomer nyata saka unsur Uploaded kanggo mesthekake yen set tombol voting Worker konsisten karo memori sambungan. Nalika mriksa, uga konfirmasi manawa alokasi array, initialization, kunci bareng lan logika rotasi konsisten, tinimbang mung mriksa modifikasi dawa `memcpy` sapisan. [S9](https://keendigit.com/jv/insights/nginx-remediation-guide#source-9) ### 6.6 Apa ora dianjurake kanggo aplikasi mung pecahan patch kasebar? Lima modifikasi iki mungguh `src/http`, `src/stream`, `src/http/v3`, lan `src/event`, lan versi lawas bisa uga duwe backport keamanan lan ekstensi ora resmi. Backporting kudu mbentuk matriks mriksa ing ngisor iki: | Priksa obyek | Apa sing kudu dikonfirmasi | | ---------------------- | --------------------------------------------------------------------------------------------------- | | sumber patch | Kiriman resmi, versi target sing cocog, tembelan lengkap lan verifikasi teken | | Paket patch asli | Ora konflik karo modifikasi sajarah kayata CVE-2026-42533, backport distribusi, etc. | | kode path | Skrip HTTP + Stream, AIO/thread, HTTP/3, OpenSSL Tiket kabeh dijamin | | Dikompilasi kompatibel | OpenSSL, PCRE, modul ABI, modul dinamis lan dependensi link konsisten | | regresi fungsional | `alias` nulis ulang, log dinamis, SSI/AIO, unggahan HTTP/3, mTLS miwiti maneh sesi | | runtime | Kabeh Worker/Pods mbukak bangunan anyar sing wis diverifikasi, ora ana gambar warisan sing isih ana | Kanggo tim sing njaga rilis dhewe, disaranake supaya ID tembelan sing bisa diaudit, versi paket, mbangun log, lan laporan regresi kanggo saben CVE; kanggo operasi lan pangopènan biasa, solusi paling aman yaiku nginstal nganyari keamanan lengkap vendor. ## 7. Backtracking kerentanan historis, cabang lawas lan produk liyane ### 7.1 NGINX kerentanan inti sing layak kanggo konfirmasi simultan saka Mei nganti September 2026 Akeh kedadeyan NGINX sing wis suwe ora dianyari ora mung kena pengaruh masalah anyar ing wulan Oktober. Ing ngisor iki minangka simpul ndandani perwakilan ing mangsa ngarep: [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1)[S2](https://keendigit.com/jv/insights/nginx-remediation-guide#source-2) | CVE | Rilis fix pisanan | Risiko lan kahanan utama sing mbutuhake audit | | -------------- | --------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-42945 | Stable 1.30.1 / Mainline 1.31.0, 13 Mei | `rewrite` Anonim regex dijupuk lan panggantos logika micu numpuk kebanjiran, potensial RCE; ana laporan umum babagan upaya serangan ing alam bébas | | CVE-2026-9256 | Stable 1.30.2 / Mainline 1.31.1, 22 Mei | Jupuk regex sing tumpang tindih lan estimasi dawa ing `rewrite` nyebabake kebanjiran | | CVE-2026-42055 | Stable 1.30.3 / Mainline 1.31.2, 17 Juni | HTTP/2 Konfigurasi khusus kanggo hulu utawa gRPC, kondisi header panyuwunan gedhe nyebabake kebanjiran buffer | | CVE-2026-42530 | Mainline 1.31.2, 17 Juni | HTTP/3 Gunakake-Sawise Gratis; tandha resmi kena pengaruh sawetara `1.31.0–1.31.1` | | CVE-2026-42533 | Stable 1.30.4 / Mainline 1.31.3, 15 Juli | `map` + regex capture variabel evaluasi nyebabake tumpukan kebanjiran, lan patch sakteruse duwe korelasi regresi karo CVE-2026-93479 ing Oktober | | CVE-2026-60005 | Stable 1.30.4 / Mainline 1.31.3, 15 Juli | Konten memori `ngx_http_slice_module` bocor ing kahanan nganyari variabel lan cache tartamtu | | CVE-2026-56434 | Stable 1.30.4 / Mainline 1.31.3, 15 Juli | SSI gegandhengan karo UAF; dudu sabab root sing padha karo kerentanan ngitung AIO ing Oktober | | CVE-2026-90439 | Stable 1.30.5 / Mainline 1.31.6, 15 September | Limpahan tumpukan winates saka HTTP/3 + kombinasi versi OpenSSL tartamtu, utamané dicethakaké minangka kacilakan/korupsi memori winates | Kerentanan liyane kayata NGINX Core, HTTP/2, charset, lan SMTP sing diumumake ing 2026 uga kudu diselidiki miturut buletin keamanan resmi; tabel iki sengojo fokus ing acara khas sing paling cocog kanggo saiki NGINX umum-madhep penyebaran proxy mbalikke lan duwe safety memori utawa njaluk mbek integritas. ora kabeh CVEs ing 2026. Dhaftar. [S1](https://keendigit.com/jv/insights/nginx-remediation-guide#source-1) #### Apa mbayar manungsa waé khusus kanggo CVE-2026-42945 Ana buletin keamanan saka instansi pemerintah sing nyathet aktivitas eksploitasi ing alam liar lan informasi kode eksploitasi umum kanggo kerentanan `rewrite` ing Mei. Mulane, kanggo kedadean sing wis ora patched kanggo dangu saka Mei kanggo saiki lan mbukak Komplek expression rewrites rewrites ing jaringan umum, saliyane kanggo ngrampungake ndandani, kacilakan Worker abnormal, akses log lan owah-owahan curiga ing wektu iku kudu tambahan dideleng. [S23](https://keendigit.com/jv/insights/nginx-remediation-guide#source-23) "Ana upaya serangan" ora kanthi otomatis mbuktekake manawa panyerang wis nindakake prentah kanthi dipercaya ing saben target; nalika respon kedadean melu, pratondho kompromi lan kacilakan proses kudu diselidiki kanthi kapisah saka bukti bener eskalasi hak istimewa utawa terus-terusan. ### 7.2 Remediation kanggo versi lawas lan backports distribusi NGINX Cabang sing beda duwe siklus dhukungan dhewe lan wektu introduksi kerentanan sing beda. Lima patch anyar ora bisa diluncurake menyang kabeh wit sumber awal tanpa ditinjau. | pemandangan | strategi dianjurake | | ---------------------------------------------------------------------------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Versi rilis wis ngumumake patch keamanan lengkap | Gunakake paket vendor lan dokumen versi paket lengkap; supaya ngganti karo upstream gundhul binary incompatible | | Debian 12 lan rilis kena pengaruh liyane sing durung dijamin dening kabeh CVE ing kumpulan iki | Kirim pesenan kerja risiko, matesi eksposur eksternal, lan mriksa status supplier / ELTS; migrasi utawa nggunakake chain release pangopènan verifiable yen perlu | | Cabang sajarah sing wis mungkasi dhukungan hulu | Prioritas migrasi menyang versi sing didhukung; yen backporting short-term perlu, maintainers bakal ngevaluasi dependensi lan kompatibilitas patch, lan nulis tes lengkap. | | Dilengkapi garpu NGINX (OpenResty, Tengine, gateway khusus) | Pisanan nemtokake manawa path kode sing cocog kalebu, banjur gunakake pernyataan keamanan garpu. Ora bisa langsung padha karo versi hulu. | | Patch keamanan nyebabake owah-owahan ing fungsi bisnis | Ngadopsi rollouts bertahap, ngalih lalu lintas antarane versi, lan adaptasi konfigurasi; iku ora cocok kanggo mulihake versi unfixed saka jaringan umum tanpa isolasi. | ### 7.3 Remediasi kapisah kanggo njs, Ingress lan NGINX inti - njs: Saliyane program utama NGINX, sampeyan uga kudu mriksa versi modul JavaScript NGINX dhewe. `njs 1.0.2` ndandani kekeselen memori parsing XML Oktober 2026 lan masalah inkonsistensi validasi XML karo atribut referensi entitas. Kanggo panyebaran sing ana gandhengane karo verifikasi teken XML nggunakake `nginx-saml`, sampeyan kudu maca instruksi njs resmi kanggo skenario plug-in. [S20](https://keendigit.com/jv/insights/nginx-remediation-guide#source-20) - F5 NGINX Plus / NGINX Ingress Controller: Plus, controller lan Gateway Fabric bisa uga duwe buletin keamanan tambahan, versi kemasan sing beda lan kerentanan kebijakan unik. Nganyarke siji lapisan ora ateges nganyari lapisan liyane kanthi otomatis. [S19](https://keendigit.com/jv/insights/nginx-remediation-guide#source-19) - Komunitas Kubernetes ingress-nginx: Pejabat Kubernetes wis ngumumake manawa pengontrol mandheg pangopènan ing Maret 2026, lan gudange ora bisa bingung karo pengontrol F5. Bisnis sing kena pengaruh kudu ngrancang migrasi sing lancar lan verifikasi anotasi Ingress lan prabédan semantik Gateway API tinimbang ngenteni versi keamanan anyar. [S21](https://keendigit.com/jv/insights/nginx-remediation-guide#source-21) ## 8. Kriteria panrima lan pemeriksaan tindak lanjut Disaranake supaya dhaptar ing ngisor iki digunakake minangka syarat sing ditampa kanggo ngganti pesenan kerja: | Proyek | Standar kualifikasi | Bukti sing bisa disimpen | | ---------------------------------------- | ----------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------- | | Aset lan jangkoan portal | Kabeh kedadeyan eksternal lan langsung sing bisa ngliwati CDN wis diinventarisasi. | Jeneng domain, LB, IP, Pod / dhaftar wadhah | | Sumber paket lan ruang lingkup perbaikan | Gunakake versi sing dikonfirmasi kanggo nutupi kabeh CVE sing ditrapake | Penasehat keamanan hulu, USN/DSA, versi paket, gambaran gambar | | proses lawas metu | Kabeh master/worker/wadhah lawas wis diganti | PID / wektu wiwitan, status penyebaran rolling, gambar mlaku | | Audit konfigurasi | Kombinasi beresiko dhuwur wis diilangi utawa ditutupi patch, lan hubungan warisan wis diverifikasi | ringkesan redacted lan cathetan audit `nginx -T` | | TLS/mTLS | Sertifikat sing dipercaya lulus; sertifikat sing ora sah utawa ilang ditolak; miwiti maneh sesi ora ngliwati otentikasi | Tes wewenang negatif/positif, asil tes TLS sing dikontrol | | Badan panyuwunan HTTP/3 | Aktifake path tetep; awak panjalukan hulu lan throttling tumindak kanthi bener | HTTP/3, unggahan proxy, uji regresi watesan volume | | SSI/AIO | Fungsi kasebut nyukupi syarat, Worker ora duwe keguguran sing ora normal | Regresi bisnis, kacilakan lan ngawasi tingkat kesalahan | | Pemantauan operasi lan pangopènan | Ora ana pangecualian sing jelas 5xx, SIGSEGV, proses metu bola-bali | Indikator lan log layanan sadurunge lan sawise owah-owahan | | Strategi rollback | Yen rollback perlu, pisanan matesi cahya lan njaga wates keamanan | Ganti Pesenan, Aliran Darurat, lan Rencana Karantina | | siklus urip sakteruse | Nemtokake langganan buletin keamanan, frekuensi nganyari wadhah, lan rencana migrasi cabang | Nganyarke ledger, wong sing tanggung jawab lan tanggal audit sabanjure | ### 8.1 Apa sampeyan kudu fokus ing log lan status mlaku? Ngatasi masalah ora normal ing server sing wis suwe katon `worker process exited on signal` 、 `SIGSEGV` , panjaluk gagal panjaluk, agregasi akses sumber sing ora normal, TLS sing ora dikarepke Sesi resume / sukses otentikasi lan prilaku panyuwunan backend sing ora normal. Indikator kasebut mung bisa digunakake minangka pitunjuk investigasi lan ora cukup bukti kanggo langsung mbuktekake manawa CVE tartamtu wis dieksploitasi. ;Kekurangan log sing relevan ora mbuktekake manawa ora ana serangan. ### 8.2 Rekomendasi tembung kesimpulan risiko pungkasan Laporan panampa kanggo lingkungan produksi kudu nggunakake ekspresi sing tepat ing ngisor iki: > NGINX ngleboke layanan njaba lan sumber paket software wis dikenali. Kabeh kedadean sing ditrapake wis nganyari kanggo versi keamanan resmi hulu, utawa backport dikonfirmasi dening vendor release wis rampung; Worker lawas lan kontaner lawas wis diganti. Jeneng alias/rewrite/map, AIO/SSI, HTTP/3 request body lan TLS Session Ticket/mTLS konfigurasi related wis diaudit lan liwati fungsi, otentikasi lan panjalukan integritas ulang. Kanggo kedadean sing durung rampung upgrade, tambahan ndhaptar wilayah cahya, langkah ganti rugi, wong sing tanggung jawab, lan tenggat wektu rampung. Yen tembelan kanggo Debian 12 utawa rilis liyane isih durung lengkap, iku ora cocok kanggo ngadili kabeh wangun acceptance minangka "rampung"; CVE sing ora ditanggulangi, apa ana konfigurasi pemicu sing cocog, status isolasi lan rute upgrade final kudu direkam kanthi jelas. *** ## Lampiran: Sumber lan pranala sing dikutip Description: Nomer `[Sx]` ing teks seragam cocog karo bagean iki. Ing ngisor iki menehi prioritas kanggo pengumuman keamanan proyek hulu, komitmen kode, pengumuman rilis pemasok lan informasi lembaga keamanan nasional. Keruwetan kerentanan sing dikutip diterangake miturut kriteria rating saben organisasi sing nerbitake; tanggal verifikasi data yaiku 27 Oktober 2026. ### S1 — NGINX Open Source Buletin Keamanan Resmi - Ngandhut versi sing kena pengaruh hulu, ndandani cabang, lan tingkat keruwetan resmi saka limang CVE Oktober, lan uga nyakup kerentanan sejarah nganti 2026. ### S2 — NGINX cathetan rilis versi resmi - - Konfirmasi 1.30.6 / 1.31.7 saka 2026-10-14, 1.31.8 saka 2026-10-21, lan tonggak rilis keamanan kritis saka Mei nganti September. ### S3 - Badan Keamanan Siber Singapura: F5 NGINX Telung kerentanan Kritis - Katrangan babagan skor CVSS v4.0 9.2, kahanan konfigurasi sing dibutuhake, lan rekomendasi mitigasi sementara kanggo CVE-2026-15176, CVE-2026-93479, lan CVE-2026-97205. ### S4 - NHS Inggris: F5 NGINX Nasihat risiko dhuwur - Njlèntrèhaké impact DoS / potensial RCE saka masalah keamanan memori, lan alangan kayata ASLR dipateni utawa dilewati. ### S5 — Komit sumber resmi: CVE-2026-15176 - Cocog karo mriksa status `alias` lan `r->uri_changed` ing `ngx_http_map_uri_to_path()`. ### S6 — Komit sumber resmi: CVE-2026-93479 - Cocog karo dawa skrip HTTP / Stream lan logika alokasi buffer sing dilindhungi. ### S7 - Komit sumber resmi: CVE-2026-97205 - Cocog karo ambang count `r->main->blocked` `NGX_HTTP_MAX_BLOCKED 250` lan mundur jalur ora sinkron. ### S8 — Komit sumber resmi: CVE-2026-95101 - Pemisahan status sing cocog karo pigura HTTP/3 sing isih ora dingerteni lan dawa awak njaluk DATA. ### S9 — Komit sumber resmi: CVE-2026-97629 - Cocog karo kabeh slot tombol sajrone rotasi Tiket Sesi TLS sinkronisasi. ### S10 — F5: CVE-2026-15176 Pengumuman Vendor - Dhaptar faktor pemicu kayata `alias`, `rewrite`, `$request_filename` lan log akses. ### S11 — F5: CVE-2026-93479 Pengumuman Vendor - Dhaptar panangkepan regex peta, jalur root, lan log kondisi evaluasi variabel. ### S12 — NGINX resmi TLS/SSL dokumentasi modul - Deskripsi `ssl_session_cache`, `ssl_session_tickets`, `ssl_session_ticket_key` lan otentikasi sertifikat klien lan instruksi liyane. ### S13 — Advisory keamanan: Ubuntu USN-8955-1 (2026-10-26) - Nyedhiyani versi tetep paket piranti lunak lengkap lan ruang lingkup distribusi Ubuntu 22.04 / 24.04 / 26.04 / 26.10. ### S14 — Advisory keamanan: Debian DSA-6575-1 (2026-10-21) - Konfirmasi paket fix keamanan `1.26.3-3+deb13u10` kanggo Debian 13 / trixie, lan rekam asosiasi backport kanggo CVE-2026-93479. ### S15 — Pelacakan kerentanan: Debian Security Tracker: CVE-2026-15176 - Digunakake kanggo verifikasi status fix distribusi Debian 12 / bookworm lan Debian 13 / trixie. Status iki bisa diganti kanthi nganyari keamanan ing mangsa ngarep. ### S16 — Pelacakan kerentanan: Debian Security Tracker: CVE-2026-95101 - Konfirmasi tambahan status keamanan kerentanan HTTP/3 ing macem-macem cabang Debian. ### S17 — Advisory keamanan: Red Hat: CVE-2026-93479 - Pangerten tambahan babagan korélasi antarane kerentanan regresi Oktober lan fix kanggo Juli CVE-2026-42533. ### S18 — NGINX dokumen modul proxy terbalik resmi - - Takon semantik lan nilai standar konfigurasi kayata `proxy_request_buffering`, `client_max_body_size`, `alias`, `aio`, lsp. ### S19 — Cathetan Rilis Resmi NGINX Plus - List Plus CR / LTS cabang, versi, patch lan pangeling kompatibilitas upgrade. ### S20 — NGINX JavaScript / njs Buletin Keamanan Resmi - - Ngandhut Oktober 2026 njs 1.0.2 lan validasi XML sing gegandhengan, masalah kekeselen memori. ### S21 — Kubernetes: Komunitas ingress-nginx instruksi pensiun resmi - - Elinga yen proyek kasebut mandhegake rilis anyar lan ndandani keamanan ing Maret 2026, lan disaranake migrasi kontroler sing dikelola utawa Gateway API. ### S22 — NGINX kontrol layanan resmi lan instruksi upgrade binar online - Mbedakake konfigurasi ulang, miwiti maneh lan cara nganyarke file sing bisa dieksekusi online kanggo panriman ngoper proses. ### S23 - Kabar Keamanan Pemerintah: Mei 2026 NGINX kerentanan nulis ulang - - Nyedhiyani latar mburi risiko sejarah lan saran nganyari keamanan kanggo CVE-2026-42945; paukuman related kanggo eksploitasi in-the-alam bébas kudu adhedhasar woro-woro agensi ing wektu lan bukti kedadean luwih. ### S24 — F5: CVE-2026-95101 lan CVE-2026-97629 Pengumuman Vendor - - Nyakup risiko HTTP/3 njaluk injeksi awak lan otomatis TLS rotasi tombol Tiket mungguh. ### S25 — F5: CVE-2026-97205 Pengumuman Vendor - Katrangan SSI / AIO kondisi pemicu lan potensial risiko karusakan memori. [NGINX nganyari keamanan: mriksa konfigurasi, nganyarke lan verifikasi](https://keendigit.com/jv/news/nginx-security-update) ## Konsultasi pangopènan keamanan Ora yakin kepiye owah-owahan kapercayan sertifikat mengaruhi sistem sampeyan? Kita bisa mbantu netepake klien sing kena pengaruh lan ngrancang nganyari keamanan. [Rembugan nganyari keamanan]() [Kaca asli]() · [Indeks isi]() KeenDigit LLC · Nomer pendhaptaran Wyoming: 2026-002106155 [Verifikasi karo Sekretaris Negara Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, Amérika Sarékat · Kabeh hak dilindhungi undhang-undhang.