nginx heeft op 14 oktober de versies 1.30.6 en 1.31.7 uitgebracht om vijf kwetsbaarheden te dichten. Dat meldt The Hacker News op basis van de eigen beveiligingsadviezen van nginx. De softwaremaker, onderdeel van F5, classificeert alle vijf als “medium”, maar gezien de positie van nginx als een van de meest gebruikte webservers en reverse proxy’s ter wereld is de patch voor beheerders toch de moeite van snel uitrollen waard.
Drie geheugenfouten en een HTTP/3-lek
Drie van de vijf kwetsbaarheden zijn geheugenfouten die een workerproces kunnen laten crashen en in het slechtste geval mogelijk het uitvoeren van willekeurige code toestaan. CVE-2026-15176 is een buffer-overflow die optreedt bij het combineren van de alias-directive met rewrite, en zit al sinds versie 0.1.29 in de code, een van de allereerste publieke releases van nginx uit 2005. CVE-2026-93479 is een vergelijkbare buffer-overflow, maar dan bij het evalueren van scripts, en treft versies 1.30.0 tot 1.30.5 en 1.31.2 tot 1.31.6. CVE-2026-97205 is een use-after-free in de afhandeling van asynchrone bestands-I/O (AIO) en gaat terug tot versie 0.8.11.
Daarnaast verhelpt nginx CVE-2026-95101, een fout waarbij een deel van een HTTP/3-requestbody op een verkeerde plek in de verwerking terecht kan komen, aanwezig vanaf versie 1.25.0.
De TLS-bug die clientcertificaten kan omzeilen
De vijfde en voor veel organisaties meest relevante kwetsbaarheid is CVE-2026-97629, een fout in de afhandeling van TLS-sessietickets waarmee een sessie onder bepaalde omstandigheden kan worden hervat zonder dat de bijbehorende clientcertificaatcontrole opnieuw wordt uitgevoerd. Dat is vooral een risico voor configuraties die mutual TLS gebruiken om clients te authenticeren, bijvoorbeeld bij meerdere servervhosts op hetzelfde IP-adres en dezelfde poort waarvan er niet allemaal een clientcertificaat vereisen. De fout speelt sinds versie 1.23.2.
Voor alle vijf kwetsbaarheden is nog geen misbruik in het wild of publieke proof-of-concept-code gemeld. nginx raadt aan om direct te updaten naar 1.30.6 of 1.31.7, afhankelijk van welke release-lijn een organisatie volgt. Wie nginx niet rechtstreeks van nginx.org betrekt maar via een Linux-distributie, wacht het beste op het gepatchte pakket van de eigen distributeur, dat doorgaans kort na een advisory als zodanig volgt.
Voor Nederlandse beheerders is dit een patch om niet op de lange baan te schuiven, juist omdat nginx zo breed wordt ingezet: als webserver, als reverse proxy voor achterliggende applicaties en als ingress-controller in Kubernetes-omgevingen. Ga na welke instanties op een kwetsbare versie draaien, met extra prioriteit voor servers die clientcertificaten gebruiken voor authenticatie, en plan de update als normaal onderhoud in plaats van als noodpatch. Omdat geen van de vijf lekken als kritiek is bestempeld en er geen exploitcode rondgaat, is er geen reden voor paniekvoetbal, wel voor een update binnen de gebruikelijke patchcyclus.
Bron: The Hacker News
Wat betekent dit voor jouw bedrijf?
nginx draait wereldwijd achter een zeer groot deel van alle websites en als reverse proxy of ingress-controller in veel bedrijfsomgevingen. Update zo snel mogelijk naar 1.30.6 of 1.31.7, en controleer specifiek configuraties die clientcertificaten gebruiken voor authenticatie: die kunnen door de TLS-sessiebug onbedoeld omzeild worden.
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.