Pada 14 Oktober 2026, nginx merilis 1.30.6 (stable) dan 1.31.7 (mainline) untuk memperbaiki lima isu keamanan. nginx 1.31.8 terbit 21 Oktober dengan perbaikan bug lanjutan. Sebelum menyimpulkan sebuah server terdampak, cocokkan versi binary yang berjalan dan syarat konfigurasi masing-masing CVE. Daftar advisory nginx · Catatan rilis stable · Catatan rilis mainline

Lima isu pada rilis keamanan Oktober

  • CVE-2026-15176 (medium): buffer overflow ketika alias digunakan setelah rewrite mengubah URI sebelum dipetakan ke path file. Rentang versi rentan menurut nginx: 0.1.29–1.31.6; perbaikan 1.30.6+ atau 1.31.7+ pada cabang masing-masing. Konfigurasi alias dan rewrite yang relevan menjadi syarat; versinya saja tidak membuktikan eksploitabilitas. Advisory nginx · Changelog
  • CVE-2026-93479 (medium): buffer overflow saat evaluasi ekspresi string dengan variabel, termasuk perhitungan document root dan logging pada modul HTTP/stream. Rentang rentan 1.30.0–1.30.5 serta 1.31.2–1.31.6; perbaikan 1.30.6+ atau 1.31.7+. Advisory nginx · Changelog
  • CVE-2026-95101 (medium): pada HTTP/3, bagian frame yang tidak dikenal dapat diproses sebagai body request, berpotensi melewati batas client_max_body_size atau menyisipkan data ke request yang diproksikan. Rentang rentan 1.25.0–1.31.6; perbaikan 1.30.6+ atau 1.31.7+. Situs tanpa HTTP/3 aktif tidak otomatis memenuhi prasyarat jalur ini. Advisory nginx · Changelog
  • CVE-2026-97629 (medium): pada rotasi kunci TLS session ticket, salah satu kunci dapat belum diinisialisasi dan memungkinkan pemalsuan sesi pada kondisi tertentu. Rentang rentan 1.23.2–1.31.6; perbaikan 1.30.6+ atau 1.31.7+. Advisory nginx · Changelog
  • CVE-2026-97205 (medium): use-after-free saat AIO dipakai bersama konfigurasi tertentu dan halaman SSI berisi include virtual. Rentang rentan 0.8.11–1.31.6; perbaikan 1.30.6+ atau 1.31.7+. Advisory nginx · Changelog

Daftar di atas berasal dari rentang versi upstream nginx. Distribusi Linux dapat membawa patch keamanan tanpa mengganti nomor versi upstream; periksa advisory vendor bila memakai paket distro. Sebaliknya, nginx dari panel hosting atau binary khusus mungkin tidak mengikuti pembaruan paket OS.

Tindakan aman di production

  1. Catat executable dan versi proses nginx yang aktif, opsi build, modul, serta konfigurasi relevan (alias, rewrite, http3, TLS tickets, AIO, SSI). Jangan menyimpulkan dampak hanya dari banner HTTP.
  2. Identifikasi sumber binary: paket distribusi, nginx resmi, container, atau panel. Jadwalkan pembaruan sesuai jalurnya ke rilis yang sudah diperbaiki; gunakan rilis terkini yang didukung. Advisory nginx
  3. Backup konfigurasi, uji di staging, jalankan nginx -t, lalu reload/restart sesuai prosedur deployment. Pastikan worker baru memakai binary yang telah dipatch dan uji situs serta upstream.
  4. Jika belum dapat memperbarui, evaluasi penonaktifan fitur yang memenuhi prasyarat isu tertentu hanya setelah cek dependensi aplikasi. Langkah konfigurasi bukan pengganti patch seluruh CVE.

Intinya: ada lima perbaikan keamanan Oktober; pemetaan versi dan konfigurasi menentukan risiko aktual. Jangan menyamakan nomor versi lama dengan bukti eksploitasi.