Pada 14 Oktober, nginx mengeluarkan versi stabil 1.30.6 dan versi mainline 1.31.7 serentak, membaiki lima kelemahan keselamatan sekali gus. Ia datang hanya sebulan selepas 1.30.5 pada 15 September, dan kali ini melibatkan set kelemahan yang berbeza. Halaman nasihat keselamatan nginx.org melabelkan kesemua lima sebagai medium (sederhana); namun dalam rekod CVE, F5 memberikan tiga daripadanya skor CVSS 3.1 8.1 (CVSS v4 9.2), jadi jangan berhenti pada perkataan "medium" sahaja.

Lima Kelemahan dan Pencetus Masing-masing

  • CVE-2026-15176 (menjejaskan 0.1.29–1.31.6): limpahan penimbal boleh berlaku dalam proses worker apabila menggunakan arahan alias jika URI permintaan telah diubah oleh arahan rewrite dan kemudian dipetakan kepada laluan fail. Skor F5 8.1.
  • CVE-2026-93479 (menjejaskan 1.30.0–1.30.5 dan 1.31.2–1.31.6): limpahan penimbal boleh berlaku semasa menilai ungkapan rentetan yang mengandungi pemboleh ubah, yang menjejaskan pengiraan akar dokumen dan pengelogan permintaan dalam modul http dan stream. Skor F5 8.1.
  • CVE-2026-95101 (menjejaskan 1.25.0–1.31.6): dengan HTTP/3, sebahagian daripada bingkai yang tidak dikenali boleh dianggap sebagai badan permintaan, yang boleh memintas had client_max_body_size atau menyuntik data ke dalam permintaan yang diproksikan.
  • CVE-2026-97629 (menjejaskan 1.23.2–1.31.6): dengan putaran kunci tiket sesi TLS, salah satu kunci dibiarkan tidak dimulakan, yang boleh membolehkan sesi dipalsukan.
  • CVE-2026-97205 (menjejaskan 0.8.11–1.31.6): dengan I/O fail tak segerak (AIO), penggunaan selepas dibebaskan boleh berlaku dalam konfigurasi tertentu jika halaman SSI mempunyai arahan include virtual. Skor F5 8.1.

Cara Menyemak dan Menaik Taraf

  • Semak versi dengan nginx -v, keluarkan konfigurasi penuh dengan nginx -T, dan cari alias, rewrite, ssi on, aio serta listen ... quic (HTTP/3) di dalamnya.
  • Jika anda menggunakan repositori rasmi nginx.org, naik taraf versi stabil ke 1.30.6 dan mainline ke 1.31.7 atau lebih baharu (1.31.8, kemas kini biasa, menyusul pada 21 Oktober). Uji konfigurasi dahulu dengan sudo nginx -t, kemudian mulakan semula atau muat semula.
  • Jika anda menggunakan nginx daripada pengedaran: Debian 13 telah dibaiki melalui DSA-6575-1 (1.26.3-3+deb13u10); setakat 26 Oktober, Debian 12 masih disenaraikan sebagai belum dibaiki dalam penjejak keselamatan, dan kebanyakan kelemahan ini masih bertanda needs-triage untuk 22.04 / 24.04 dalam halaman CVE Ubuntu. Versi pengedaran yang lama tidak semestinya selamat — dua daripada lima kelemahan ini wujud sejak zaman 0.x. Sementara menunggu pakej, semak sama ada anda menggunakan mana-mana konfigurasi di atas.

Perkara Lain yang Perlu Diketahui

njs 1.0.2 dikeluarkan pada hari yang sama dengan pembaikan untuk dua kelemahan berkaitan XML (CVE-2026-101025 dan CVE-2026-101019); naik taraf juga jika anda menggunakan modul njs. Jika tapak anda menjalankan nginx bersama PHP, pembaikan kritikal PHP pada 21 Oktober lebih mendesak — sebaik-baiknya uruskan kedua-duanya bersama. Untuk persediaan asas nginx, lihat mengehos laman web pertama anda dengan Nginx; untuk HTTPS, lihat menyediakan SSL Let's Encrypt; dan jika tapak memaparkan 502 / 504 selepas naik taraf, ikuti panduan penyelesaian masalah 502 / 504.