NGINX opravil tri závažné chyby, ktoré môžu za určitých podmienok viesť k DoS alebo vzdialenému vykonaniu kódu
NGINX vydal verzie 1.30.6 a 1.31.7 s opravami piatich zraniteľností. Tri z nich NHS England hodnotí skóre CVSSv4 9,2 pri špecifických konfiguráciách.
NGINX opravy zraniteľností zahŕňajú vydania nginx-1.30.6 a nginx-1.31.7, ktoré boli zverejnené 14. októbra 2026. Aktualizácie riešia celkovo päť bezpečnostných chýb vrátane CVE-2026-15176, CVE-2026-93479 a CVE-2026-97205. Podľa upozornenia NHS England môžu tieto tri chyby pri konkrétnych konfiguračných podmienkach umožniť neautentifikovanému útočníkovi vyvolať odmietnutie služby alebo za ďalších podmienok dosiahnuť vzdialené vykonanie kódu.
Riziko sa netýka automaticky každého servera NGINX. Najpravdepodobnejším dôsledkom v dotknutých konfiguráciách je pád alebo reštart pracovného procesu. Možnosť vzdialeného vykonania kódu je podmienená vypnutým mechanizmom ASLR, prípadne schopnosťou útočníka tento mechanizmus obísť. Nejde teda o potvrdené univerzálne vzdialené vykonanie kódu vo všetkých nasadeniach.
NGINX opravy zraniteľností sú dostupné vo vetvách 1.30 a 1.31
Bezpečnostné odporúčania NGINX uvádzajú opravené hranice verzií 1.30.6 a 1.31.7 pre CVE-2026-15176, CVE-2026-93479 a CVE-2026-97205. Správcovia by mali najprv overiť používanú verziu a následne aktualizovať na príslušné opravené vydanie.
Osobitnú pozornosť si zaslúžia verejne dostupné servery a reverzné proxy, ktoré používajú relevantné konfiguračné kombinácie. NGINX sa používa ako webový server a reverzná proxy, preto môže mať výpadok pracovného procesu vplyv na dostupnosť služieb.
- CVE-2026-15176 a CVE-2026-97205 majú podľa dostupných informácií aj konfiguračné zmiernenia.
- Pri preverovaní konfigurácie treba venovať pozornosť nastaveniam alias a rewrite, regexovým mapám a kombinácii AIO so SSI.
- Aktualizácia na nginx-1.30.6 alebo nginx-1.31.7 je dostupnou cestou odstránenia uvedených chýb.
Odlišné hodnotenia používajú rôzne škály
NHS England pre tri uvedené CVE uvádza hodnotenie CVSSv4 9,2 a klasifikáciu critical. NGINX ich na vlastnej škále označuje ako medium. Tieto označenia treba čítať v kontexte odlišných metodík hodnotenia, nie ako informáciu o zmene technického stavu zraniteľností.
Primárne odporúčania NGINX opisujú problémy v súvislosti s konfiguráciami alias/rewrite a AIO/SSI. Pri posudzovaní zásahu by sa správcovia mali opierať o tieto technické podmienky.
Aktívne zneužívanie zatiaľ nebolo potvrdené
Nezávislé spravodajské hlásenie z 19. októbra uvádza, že F5 tieto zraniteľnosti zatiaľ neoznačilo za zneužívané v praxi. Potvrdenie aktívneho zneužívania konkrétnych CVE v dostupných informáciách chýba.
Ďalší vývoj môže priniesť potvrdenie alebo vyvrátenie zneužívania zo strany F5, CISA či iných autorít, prípadne nové technické podrobnosti a dôkaz funkčného exploitu. Relevantné budú aj prípadné aktualizované opravy alebo upozornenia pre komerčné produkty F5 postavené na NGINX.
Zdroje
- NGINX security advisories – Potvrdzuje CVE a opravené hranice verzií: 1.31.7+ a 1.30.6+ pre CVE-2026-15176, CVE-2026-93479 a CVE-2026-97205.
- NGINX – Potvrdzuje vydanie nginx-1.30.6 a nginx-1.31.7 dňa 14. októbra 2026 a zoznam piatich opravených chýb.
- NHS England Digital – Uvádza CVSSv4 9,2, podmienky pre potenciálne vykonanie kódu a odporúčanie aplikovať opravy.
- BleepingComputer – Korroboruje aktuálne spravodajské pokrytie a uvádza, že F5 chyby zatiaľ neoznačilo za zneužívané v praxi.
Overené a aktualizované: 20. 10. 2026 06:23
