Hai semuanya, apa kabar? Kali ini aku mendapatkan notifikasi celah keamanan yang ada di NGINX. F5 sebagai pemilik NGINX merilis NGINX Open Source 1.30.6 (stable) dan 1.31.7 (mainline) untuk menambal lima celah keamanan sekaligus . Tiga di antaranya menyangkut memory corruption dan mendapat skor CVSS v4.0 9.2 dari F5 (kategori kritis). Beberapa celah ini bisa dapat berujung ke remote code execution (RCE).

CVE-2026-15176: Heap Buffer Overflow via alias dan rewrite

Ini terjadi kalau kamu memakai direktif alias bersamaan dengan rewrite, dan hasil rewrite-nya dipetakan ke path file lewat $request_filename. Dalam kondisi itu, NGINX bisa menulis melewati batas buffer di memori.

Efeknya? Worker process bisa crash, dan dalam kondisi tertentu, terutama kalau ASLR (Address Space Layout Randomization) dimatikan, bisa berujung pada eksekusi kode dari jarak jauh.

CVE-2026-93479 : Heap Buffer Overflow di map dengan Regex

Celah kedua juga soal buffer overflow, tapi pemicunya berbeda: kamu memakai direktif map dengan regex capture, lalu capture-nya dipakai di root atau log_format. Evaluasi yang terlalu dini bikin NGINX salah mengelola memori.

Dampaknya mirip: worker crash, dan berpotensi RCE kalau ASLR bisa dilewati.

CVE-2026-97205 : Use-After-Free di AIO + SSI

Kalau kamu mengaktifkan asynchronous file I/O (AIO) dan memakai Server Side Includes (SSI) dengan include virtual, NGINX bisa mengakses memori yang sudah dibebaskan. Ini klasik use-after-free, mirip membaca halaman buku yang sudah disobek dan dibuang.

CVE-2026-95101 : HTTP/3 Request-Body Injection

Kalau kamu menjalankan HTTP/3 di depan proxy_pass dengan proxy_request_buffering aktif (ini default-nya), ada celah yang memungkinkan klien menyelundupkan data tambahan ke body request yang diteruskan ke backend. Artinya, aplikasi di belakang NGINX bisa menerima data yang tidak seharusnya dikirim.

CVE-2026-97629 — TLS Session Forgery

Ini menyangkut shared TLS session cache dengan rotasi ticket key otomatis. Dalam kondisi tertentu, attacker bisa memalsukan sesi TLS dan bahkan melewati verifikasi client certificate.

Mitigasi

Langkah yang dapat dilakukan adalah upgrade versi NGINX yang digunakan. Berikut ini versi NGINX dari nginx.org .

• Stable: 1.30.6 atau lebih baru
• Mainline: 1.31.7 atau lebih baru (saat artikel ini ditulis, 1.31.8 sudah tersedia)

Untuk cek versi NGINX yang dipasang, dapat menggunakan perintah berikut (Ubuntu):

apt policy nginx
nginx -v

Untuk “jaga-jaga” dari kerentanan seperti ini, kita bisa rutin cek versi NGINX secara berkala, gabung di forum diskusi IT, dan jangan tunggu email pemberitahuan dari provider baru panik.

Tulisan kali ini sampai di sini dulu ya. Sampai jumpa. Bye.