nginx geliştiricileri 14 Ekim 2026’da kararlı dal için 1.30.6, ana sürüm dalı için 1.31.7 sürümlerini yayımladı ve beş güvenlik açığını kapattı. nginx.org’daki güvenlik duyuruları sayfasında beş açığın önem derecesi de “orta” (medium) olarak veriliyor. Her duyuruda F5’in ilgili açık için yayımladığı bültene bağlantı bulunuyor.
Ne oldu
nginx’in değişiklik kayıtlarına göre kapatılan açıklar şunlar:
- CVE-2026-15176: “alias” yönergesi kullanılırken istek adresi “rewrite” yönergesiyle değiştirilip bir dosya yoluna eşlenirse worker sürecinde arabellek taşması oluşabiliyor.
- CVE-2026-93479: Değişken içeren dize ifadeleri değerlendirilirken worker sürecinde arabellek taşması oluşabiliyor. Kayda göre bu durum http ve stream modüllerinde belge kökü hesaplamasını ve istek günlüğünü etkiliyordu. Bildiren: Tolmo Inc.’ten Matt Suiche.
- CVE-2026-95101: HTTP/3 kullanılırken bilinmeyen bir çerçevenin bir bölümü istek gövdesi olarak işlenebiliyor. Bu, “client_max_body_size” sınırının aşılmasına ya da vekil sunucuya iletilen isteğe veri eklenmesine yol açabiliyor. Bildiren: GOTROOT’tan Hansol Lee.
- CVE-2026-97629: TLS oturum bileti anahtarları döndürülürken anahtarlardan biri ilk değeri atanmadan bırakılıyordu; bu da oturum sahteciliğine olanak verebiliyor. Bildiren: PhiNode Labs.
- CVE-2026-97205: Eşzamansız dosya giriş/çıkışı (AIO) kullanılırken, SSI sayfasında “include virtual” komutları varsa bazı yapılandırmalarda serbest bırakılmış bellek yeniden kullanılabiliyor (use-after-free). Bildiren: cyberlancer.
Kimleri etkiler
nginx.org’a göre etkilenen sürüm aralıkları açığa göre değişiyor: CVE-2026-15176 için 0.1.29–1.31.6, CVE-2026-93479 için 1.31.2–1.31.6 ve 1.30.0–1.30.5, CVE-2026-95101 için 1.25.0–1.31.6, CVE-2026-97629 için 1.23.2–1.31.6, CVE-2026-97205 için 0.8.11–1.31.6. Değişiklik kayıtlarındaki tanımlara göre açıkların her biri belirli bir özelliğin kullanımına bağlı: “alias” ile “rewrite” birlikte, değişken içeren ifadeler, HTTP/3, TLS oturum bileti anahtarlarının döndürülmesi ya da SSI ile birlikte AIO.
Üretici ne öneriyor
nginx.org duyurularına göre 1.31.7 ve sonraki sürümler ile 1.30.6 ve sonraki sürümler bu açıklardan etkilenmiyor. nginx, 21 Ekim’de ana sürüm dalında 1.31.8’i yayımladı; değişiklik kaydında bu sürüm için güvenlik maddesi bulunmuyor. 1.30.6 sürümündeki diğer hata düzeltmeleri 1.30 dalının değişiklik kaydında.
Duyuruların tamamı yan sütundaki bağlantıda.
