nginx beş güvenlik açığını kapattı: sunucunuz etkileniyor mu?
Yayın:
- Ne oldu?
- nginx, 14 Ekim'de 1.30.6 ve 1.31.7 sürümleriyle beş açığı kapattı. Üçü bellek hatası, biri TLS istemci sertifikası denetimini atlatabiliyor.
- Kimi etkiliyor?
- Yalnız belirli ayarları kullanan sunucular: alias ile rewrite birlikte, aio ile SSI, HTTP/3 ya da TLS biletleri açıkken paylaşımlı oturum önbelleği.
- Ne yapmalı?
- "nginx -T" çıktısında bu ayarlara bakın; varsa güncelleyin ya da geçici çözümü uygulayın.
nginx, 14 Ekim 2026'da yayımladığı 1.30.6 (kararlı) ve 1.31.7 (ana hat) sürümleriyle beş güvenlik açığını kapattı. nginx'in kendisi beşini de orta seviye olarak değerlendiriyor; F5 ise üç bellek hatasına 9.2 puan veriyor. Önemli ayrıntı: açıkların hepsi belirli ayarlar kullanıldığında ortaya çıkıyor. Henüz bilinen bir saldırı yok.
Beş açık ve tetikleyen ayarlar
| Açık | Sonuç | Hangi ayarda? |
|---|---|---|
| CVE-2026-15176 | İşçi çökmesi, olası kod çalıştırma | Aynı bölümde alias + URI'yi değiştiren rewrite + $request_filename kullanımı |
| CVE-2026-93479 | İşçi çökmesi, olası kod çalıştırma | Yakalamaları root ya da log_format içinde kullanılan düzenli ifadeli map |
| CVE-2026-97205 | Bellek bozulması, olası kod çalıştırma | aio açık ve SSI include virtual kullanılan sayfalar |
| CVE-2026-95101 | Arka uca giden isteğe fazladan veri | HTTP/3 (QUIC) + proxy_request_buffering on |
| CVE-2026-97629 | İstemci sertifikası denetiminin atlatılması | ssl_session_cache shared var, ssl_session_ticket_key yok ve biletler açık |
Sunucunuz etkileniyor mu?
Bütün nginx ayarını tek seferde döküp bu yönergeleri arayın:
sudo nginx -T 2>/dev/null | grep -nE 'alias |rewrite |^\s*aio |ssi on|quic|ssl_session_cache shared|ssl_session_ticket'ssl_session_cache sharedvarsa ama aynı yerdessl_session_tickets off;da varsa TLS açığından etkilenmezsiniz.aioya da SSI kullanmıyorsanız CVE-2026-97205 sizi ilgilendirmez.- HTTP/3 (
listen ... quic) açık değilse CVE-2026-95101 sizi ilgilendirmez.
Güncelleyemiyorsanız
aliaskullanılan bölümderewriteya da$request_filenamekullanmayın.aio'yu kapatın ya da SSI sayfası sunmayın.- HTTP/3 kullanıyorsanız
proxy_request_buffering off;yapın. - TLS için
ssl_session_tickets off;ekleyin ya da bilet anahtarını dosyadan yükleyin.
Kaynaklar
İlgili yazılar
Rank Math PRO güncellemesine zararlı yazılım gizlendi: ne yapmalı?
WordPress SEO eklentisi Rank Math PRO'nun 3.0.123 sürümüne zararlı kod eklendi. Hangi siteler etkilendi, nasıl temizlenir?
Bricksforge eklentisinde CVSS 10 açık saldırıda: WordPress siteleri ele geçiriliyor
Bricks tema eklentisi Bricksforge’daki açık, giriş yapmadan PHP dosyası yüklemeye izin veriyor ve 7 Ekim’den beri saldırıda kullanılıyor.
cPanel, Plesk ve WHMCS 2027'de yüzde 20'ye varan zam yapıyor
cPanel 16 Aralık'tan, Plesk ve WHMCS 1 Ocak 2027'den itibaren lisans fiyatlarını artırıyor. Rakamlar ve barındırma firmalarına etkisi.
cPanel’de herhangi bir hosting hesabına root yetkisi veren açık
cPanel’in takvim ve rehber bileşenindeki açık, sıradan bir hosting hesabının sunucuda root olarak kod çalıştırmasına izin veriyordu.
OpenSSH 10.6 yayımlandı: sıkıştırma üzerinden şifreli veri sızdırma kapatıldı
OpenSSH 10.6, sıkıştırma üzerinden düz metin kurtarma saldırısı, SFTP yol doğrulaması ve kullanıcı adıyla komut enjeksiyonu gibi sorunları düzeltiyor.
eMudhra ara sertifikaları ele geçirildi: iki kök sertifika güvenilmez ilan edildi
Linux dağıtımları emSign ECC Root CA (G3) ve Comodo AAA Services köklerini güven listesinden çıkardı. Sunucunuzda ca-certificates güncellemesi gerekiyor.