NGINX, olası kod çalıştırma ve TLS sertifika atlatma dahil beş açığı kapattı

NGINX, 14 Ekim 2026'da beş güvenlik açığını kapatan 1.30.6 (stable) ve 1.31.7 (mainline) sürümlerini yayımladı. The Hacker News'in aktardığına göre açıklardan üçü, F5'in CVSS v4.0 ölçeğinde 9,2 puan verdiği ve çalışan (worker) süreçlerde kod çalıştırmaya yol açabilecek bellek güvenliği hataları. Yayın, bunun NGINX'in 2026'daki sekizinci güvenlik sürümü olduğunu ve NGINX projesinin kendi derecelendirmesinde beş açığın tamamını orta önemde saydığını belirtiyor.

Neler oldu?

The Hacker News'e göre F5'in kendi ekibinin bulduğu CVE-2026-15176, alias yönergesi URI'yi değiştiren bir rewrite ile birlikte kullanıldığında ve bir sonraki location seçilmeden önce $request_filename okunduğunda tetiklenen bir yığın (heap) taşması. 0.1.29 ile 1.31.6 arasındaki sürümler etkileniyor.

CVE-2026-93479, root veya log_format tarafından kullanılan regex map yakalamalarıyla ilgili bir yığın taşması. Yayına göre hata, NGINX'in Temmuz'da CVE-2026-42533 için yamaladığı metin işleme kodundan kaynaklanıyor; yani Temmuz'da güncellenen sunucular da hâlâ etkilenen aralıkta olabilir.

CVE-2026-97205 ise SSI sayfaları include virtual ile sunulurken eşzamansız G/Ç (aio) yolunda ortaya çıkan bir use-after-free hatası. The Hacker News'in açıklamasına göre bekleyen işlemleri sayan 8 bitlik sayaç 256 işlemden sonra sıfırlanabiliyor ve istek hâlâ kullanımdayken bellekten silinebiliyor.

Teknik detaylar

Dördüncü açık CVE-2026-97629 (CVSS 8,3), açık bir ssl_session_ticket_key tanımlamadan ssl_session_cache shared: kullanan sunucuları etkiliyor. Habere göre otomatik bilet anahtarı döndürme işlemi üç anahtar yuvasından yalnızca ikisini kopyaladığı için üçüncü yuvaya atıf yapan bir bilet, ilklendirilmemiş bellekle doğrulanabiliyordu. F5, sahteciliğin rastlantısal olduğunu ve saldırganın kontrolünde bulunmadığını ancak istemci sertifikası doğrulamasını atlatabileceğini söylüyor.

Beşinci açık CVE-2026-95101 (CVSS 6,9), proxy_request_buffering on ayarıyla HTTP/3 kullanan sunucularda vekil isteklere fazladan bayt eklenmesine ve gövdenin client_max_body_size sınırını aşmasına yol açıyor.

The Hacker News'e göre 15 Ekim itibarıyla açıkların hiçbiri CISA'nın aktif istismar kataloğunda yer almıyor; NGINX ve F5 de saldırı bildirmedi. NGINX aynı gün iki orta önemdeki XML işleme hatasını kapatan njs 1.0.2 sürümünü de yayımladı.

Ne yapmalı?

• NGINX 1.30.6 veya 1.31.7 sürümüne geçin. 1.28 gibi eski kollar düzeltilmedi; dağıtım paketleri ancak yamalar geri taşındıysa güvenli.
• NGINX Plus kullanıcıları F5 duyurularını incelemeli; The Hacker News'e göre Ingress Controller, Gateway Fabric, Instance Manager ve WAF gibi bazı F5 ürünleri için henüz düzeltilmiş sürüm yok.
• Hemen güncelleme yapılamıyorsa F5'in geçici çözümleri arasında $request_filename ile alias kullanmamak, regex map'lerde adlandırılmış yakalamalar kullanmak, aio veya SSI'yi kapatmak, ssl_session_ticket_key tanımlamak ya da paylaşımlı önbelleği kaldırmak ve HTTP/3 için proxy_request_buffering off ayarı bulunuyor.
• Etkilenen yönerge kombinasyonlarını bulmak için nginx -T ile yapılandırmanın tamamını gözden geçirin.