Data histórica do artigo: 2026-10-14 (data de divulgação e lançamento de segurança). Fontes verificadas e informações complementadas através de 2026-10-27.
Evento e impacto
NGINX lançou Stable 1.30.6 e Mainline 1.31.7 em 2026-10-14, corrigindo cinco vulnerabilidades principais: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 e CVE-2026-97629. Eles afetam o mapeamento de caminhos, a avaliação de variáveis, as operações assíncronas de arquivos, os corpos de solicitação HTTP/3 e os tickets de sessão TLS. A exposição depende da configuração; nem toda implantação NGINX é vulnerável à execução remota de código.
Ações prioritárias
- Para pacotes upstream, atenda à linha de base do patch Stable 1.30.6 ou Mainline 1.31.7 separada. Mainline 1.31.8 estava disponível na data de verificação posterior. Para pacotes de distribuição e NGINX Plus, verifique a filial do fornecedor e a versão completa do pacote.
- Combinações de auditoria envolvendo
alias,rewrite,map, SSI/AIO, HTTP/3 e caches de sessão TLS compartilhados. Priorize endpoints e serviços públicos usando autenticação de certificado de cliente. - Valide a configuração e reinicie ou implemente substituições para cada instância antiga. Uma recarga de configuração comum não prova que o binário ativo foi atualizado.
Verificação e acompanhamento
Confirme se os endpoints reais usam pacotes ou imagens fixas e teste uploads com proxy, solicite limites de corpo, roteamento e autenticação de certificado de cliente. WAF, ASLR e alterações temporárias de configuração não podem substituir patches. Não se pode presumir que o status de correção de uma distribuição se aplique a outra.
Este artigo foi arquivado na data do evento de 14 de outubro e inclui informações posteriores. Leia o guia completo de vulnerabilidade e correção NGINX para configurações afetadas, correções específicas de filiais, mecanismos de patch, mitigações temporárias e fontes oficiais.