Le 14 octobre, nginx a publié simultanément la version stable 1.30.6 et la version mainline 1.31.7, qui corrigent cinq vulnérabilités de sécurité d'un coup. Cela arrive un mois à peine après la 1.30.5 du 15 septembre, et il s'agit d'une autre série de failles. La page des avis de sécurité de nginx.org les classe toutes les cinq en medium (gravité moyenne) ; toutefois, dans les fiches CVE, F5 attribue à trois d'entre elles un score CVSS 3.1 de 8,1 (9,2 en CVSS v4) : ne vous arrêtez donc pas au mot « medium ».

Cinq failles et leurs conditions de déclenchement

  • CVE-2026-15176 (versions 0.1.29 à 1.31.6) : un dépassement de tampon peut se produire dans un processus worker avec la directive alias si l'URI de la requête a été modifiée par la directive rewrite puis associée à un chemin de fichier. Score F5 : 8,1.
  • CVE-2026-93479 (versions 1.30.0 à 1.30.5 et 1.31.2 à 1.31.6) : un dépassement de tampon peut se produire lors de l'évaluation d'expressions de chaîne contenant des variables, ce qui touche le calcul de la racine des documents et la journalisation des requêtes dans les modules http et stream. Score F5 : 8,1.
  • CVE-2026-95101 (versions 1.25.0 à 1.31.6) : avec HTTP/3, une partie d'une trame inconnue peut être traitée comme le corps de la requête, ce qui peut permettre de contourner la limite client_max_body_size ou d'injecter des données dans la requête transmise par le proxy.
  • CVE-2026-97629 (versions 1.23.2 à 1.31.6) : lors de la rotation des clés de tickets de session TLS, l'une des clés restait non initialisée, ce qui peut permettre de falsifier une session.
  • CVE-2026-97205 (versions 0.8.11 à 1.31.6) : avec les E/S de fichiers asynchrones (AIO), une utilisation après libération peut survenir dans certaines configurations si une page SSI contient des commandes include virtual. Score F5 : 8,1.

Comment vérifier et mettre à jour

  • Vérifiez la version avec nginx -v, exportez la configuration complète avec nginx -T et cherchez-y alias, rewrite, ssi on, aio et listen ... quic (HTTP/3).
  • Si vous utilisez les dépôts officiels de nginx.org, passez la branche stable en 1.30.6 et la branche mainline en 1.31.7 ou plus récent (la 1.31.8, une mise à jour ordinaire, a suivi le 21 octobre). Testez d'abord la configuration avec sudo nginx -t, puis redémarrez ou rechargez.
  • Si vous utilisez le nginx de votre distribution : Debian 13 est corrigé par DSA-6575-1 (1.26.3-3+deb13u10) ; au 26 octobre, Debian 12 figure toujours comme non corrigé sur le suivi de sécurité, et la plupart de ces failles sont encore marquées needs-triage pour 22.04 / 24.04 sur les pages CVE d'Ubuntu. Une version ancienne de distribution n'est pas automatiquement sûre : deux des cinq failles remontent à l'époque des 0.x. En attendant un paquet, vérifiez si vous utilisez l'une des configurations ci-dessus.

À savoir également

njs 1.0.2 est sorti le même jour avec des correctifs pour deux vulnérabilités liées au XML (CVE-2026-101025 et CVE-2026-101019) ; mettez-le à jour aussi si vous utilisez le module njs. Si votre site associe nginx et PHP, les correctifs critiques de PHP du 21 octobre sont plus urgents : idéalement, traitez les deux ensemble. Pour la configuration de base de nginx, voir héberger votre premier site avec Nginx ; pour HTTPS, configurer un certificat SSL Let's Encrypt ; et si le site renvoie 502 / 504 après la mise à jour, suivez le guide de dépannage des erreurs 502 / 504.