Nginx : cinq failles corrigées dans les versions 1.30.6 et 1.31.7, dont trois corruptions mémoire
Nginx 1.30.6 et 1.31.7 corrigent cinq failles qui dépendent toutes d'une directive particulière (alias + rewrite, map regex, aio + SSI, HTTP/3, cache de session TLS partagé). Debian stable n'est pas encore corrigé : vérifier sa configuration et appliquer les contournements.
par Frédéric Vagner · publié le
- Sévérité
- Haute CVSS 9,2 / 10
- CVE
- CVE-2026-15176 CVE-2026-93479 CVE-2026-97205 CVE-2026-95101 CVE-2026-97629
- Produits
- DebianNginx
- Versions touchées
- 0.1.29 à 1.31.6 selon la faille
- Versions corrigées
- 1.30.6 (stable), 1.31.7 (mainline) — Debian 13 / 12 : pas encore de correctif (sid : 1.30.6-2)
- Correctif
- Contournement seulement
- Source
- nginx.org ↗
Publiées le 14 octobre, les versions 1.30.6 (stable) et 1.31.7 (mainline) corrigent cinq vulnérabilités. Le projet Nginx les classe toutes en sévérité moyenne, mais F5 note les trois corruptions mémoire à 9.2 en CVSS v4.0. Aucune exploitation n'est signalée, mais une faille Nginx de mai (CVE-2026-42945) avait été exploitée quelques jours après sa publication.
Les cinq failles
| CVE | Effet | Configuration exposée | Contournement |
|---|---|---|---|
| CVE-2026-15176 | Débordement de tas, possible exécution de code | alias + rewrite + lecture de $request_filename | Ne pas combiner alias et $request_filename |
| CVE-2026-93479 | Débordement de tas | map regex dont les captures servent dans root ou log_format | Captures nommées, utilisées uniquement dans le bloc |
| CVE-2026-97205 | Use-after-free | aio + pages SSI avec include virtual | aio off ou pas de SSI |
| CVE-2026-95101 | Injection d'octets vers le backend | HTTP/3 avec proxy_request_buffering on (défaut) | proxy_request_buffering off |
| CVE-2026-97629 | Session TLS forgée, contournement possible des certificats clients | ssl_session_cache shared:… sans ssl_session_ticket_key | ssl_session_tickets off ou clés chargées depuis un fichier |
Qui est concerné ?
Tous les serveurs Nginx, y compris le Nginx frontal de Plesk. Le cas le plus courant est CVE-2026-97629 : la directive ssl_session_cache shared:SSL:10m figure dans l'exemple de configuration officiel.
État chez Debian
Le security tracker Debian indique que Debian 12 (1.22.1) et Debian 13 (1.26.3) sont encore vulnérables ; seules forky et sid sont corrigées. Les branches 1.22 et 1.26 ne reçoivent plus de correctifs en amont : il faut attendre un rétroportage Debian.
Vérifier sa configuration
nginx -T 2>/dev/null | grep -nE 'alias|rewrite|request_filename|^\s*map .*~|aio|ssi on|quic|ssl_session_cache|ssl_session_ticket'Corriger
# Dépôt nginx.org
apt update && apt install --only-upgrade nginx
nginx -v # attendu : 1.30.6 ou 1.31.7
# Paquets Debian : surveiller la DSA, en attendant appliquer les contournements ci-dessus
systemctl reload nginx