veilletech.frCe qui se passe
Le 14 octobre 2026, NGINX a publié les versions 1.30.6 (branche stable, correctifs seulement) et 1.31.7 (mainline) pour cinq vulnérabilités. L'une d'elles est présente dans toutes les versions depuis mai 2005. Aucune n'était au catalogue des failles exploitées de la CISA au 15 octobre, et ni NGINX ni F5 ne signalent d'attaque. NGINX classe les cinq « moyennes » ; F5 note les trois erreurs mémoire 9,2 en CVSS 4.0, la faille TLS 8,3 et celle de HTTP/3 6,9.
Quelle configuration expose à quoi
Chaque faille exige une directive que vous avez ajoutée vous-même, sauf une condition de HTTP/3 qui est active par défaut. Les plages de versions viennent de la page d'avis de NGINX, les contournements de F5.
| CVE | Effet | Configuration exposée | Versions touchées | Si vous ne pouvez pas mettre à jour |
|---|---|---|---|---|
| CVE-2026-15176 | débordement de tas d'un worker : plantage, peut-être exécution de code | un location avec alias, un rewrite qui change l'URI, et une lecture de $request_filename (return, set, if, add_header, format de journal) |
0.1.29 à 1.31.6 | pas d'alias dans ce location, pas de $request_filename |
| CVE-2026-93479 | débordement de tas : plantage, peut-être exécution de code | une map à expression régulière dont les captures servent dans root ou log_format avant la variable de sortie |
1.30.0 à 1.30.5 et 1.31.2 à 1.31.6 | captures nommées, utilisées seulement dans le bloc de la correspondance |
| CVE-2026-97205 | use-after-free : plantage, corruption mémoire | aio actif et pages SSI avec include virtual |
0.8.11 à 1.31.6 | désactiver aio, ou ne pas servir de SSI |
| CVE-2026-95101 | octets injectés dans une requête proxifiée, au-delà de client_max_body_size |
HTTP/3 avec proxy_request_buffering on (le défaut) |
1.25.0 à 1.31.6 | proxy_request_buffering off |
| CVE-2026-97629 | session TLS forgée pouvant contourner la vérification du certificat client | ssl_session_cache shared:… sans ssl_session_ticket_key |
1.23.2 à 1.31.6 | retirer le cache partagé, ou charger les clés depuis un fichier ; ssl_session_tickets off protège |
Les mécanismes
- TLS. Depuis la 1.23.2 (octobre 2022), un cache de sessions partagé fait
générer et renouveler les clés de tickets par NGINX lui-même. Chaque worker
garde trois emplacements de clés ; la rotation n'en copiait que deux, et le
troisième contenait ce que la mémoire contenait avant. Un ticket qui désigne
cet emplacement est vérifié avec cette clé non initialisée. F5 précise que la
falsification est non déterministe et échappe à l'attaquant. L'exemple de la
documentation NGINX,
ssl_session_cache shared:SSL:10m, est la configuration exposée. aio. Chaque opération asynchrone en attente ajoute 1 à un champ de 8 bits sans contrôle : 256 opérations le font repasser à zéro, et la requête peut être libérée alors que ces opérations pointent encore vers elle.map. Ce défaut découle du correctif de juillet pour CVE-2026-42533 : un premier patch protégeait contre le dépassement de tampon, un second dimensionnait la chaîne finale sur une longueur qui avait débordé. Le contournement de juillet (captures nommées) avait déjà été jugé incomplet par le chercheur Stan Shaw.- HTTP/3. Un même champ servait à compter les octets restants d'une trame inconnue et les octets de corps à transmettre ; quand la trame arrivait en deux lectures, le reste partait au backend hors du contrôle de taille.
Que faire
Passer en 1.30.6 (stable) ou 1.31.7 (mainline). NGINX ne corrige que ces deux branches : une 1.28 reste dans les plages touchées, et un paquet de distribution n'est corrigé que si elle a rétroporté les patchs.
Savoir si vous êtes exposé :
Terminal nginx -T 2>/dev/null | grep -nE 'alias|rewrite|map |aio|ssi|quic|ssl_session_cache|ssl_session_ticket_key'Sans mise à jour possible, appliquer le contournement du tableau pour chaque directive trouvée, puis
nginx -s reload.Clients NGINX Plus et produits F5 (Ingress Controller, Gateway Fabric, Instance Manager, WAF) : consulter les avis F5, plusieurs n'avaient pas de build corrigé au 15 octobre.
Contexte : la faille du module rewrite de mai, CVE-2026-42945, a été exploitée en
quelques jours d'après VulnCheck, et c'est la huitième publication de sécurité de
NGINX en 2026. njs 1.0.2 est sorti le même jour (CVE-2026-101025,
CVE-2026-101019).
Source : The Hacker News, 15 octobre 2026, qui renvoie aux avis de NGINX et de F5.