Uma falha explorável remotamente e sem autenticação no NGINX está presente em toda versão desde a 0.1.29, de maio de 2005. A CVE-2026-15176 é um estouro de buffer no ngx_http_core_module, com nota 8.1, e recebeu correção em 14 de outubro.
Ela não alcança qualquer instalação. Depende de bloco location que combine alias com rewrite, set ou return usando a variável request_filename, ou do uso dessa mesma variável no formato do log de acesso.
O reparo saiu nas versões 1.31.7 e 1.30.6, que fecham cinco falhas no total. Das outras duas de memória, a CVE-2026-97205 é um use after free que exige AIO e SSI com include virtual, e a CVE-2026-93479 é um estouro de heap ligado a captura de regex da diretiva map.
Segundo a F5, dona do projeto, as três derrubam o processo worker com requisição preparada e, em certas configurações, podem levar a execução de código. Esse cenário exige ASLR desabilitado ou contornado, o que limita bastante o alcance prático.
As duas restantes não são de memória. A CVE-2026-95101 permite injeção no corpo da requisição em HTTP/3, da 1.25.0 à 1.31.6. A CVE-2026-97629 permite forjar sessão com session tickets TLS e pode fazer a exigência de certificado de cliente ser contornada.
No código aberto, a correção está na 1.31.7 e na 1.30.6. O NGINX Plus pede a 37.0.5.1 ou a 37.1.0.1, o Instance Manager a 2.24.0, o F5 WAF a 5.16.0 ou 5.14.2, o Gateway Fabric a 2.8.0 e o Ingress Controller a 5.7.0. Branch antiga sem correção exige migrar.
Quem não pode atualizar tem paliativo por falha: desabilitar AIO ou SSI na primeira, trocar captura de regex sem nome por nomeada na segunda e evitar alias dentro de location na terceira. O nginx -T mostra a configuração ativa e o nginx -t valida a sintaxe antes do reload. A F5 não relata exploração ativa.
