nginx corrige cinco falhas de uma vez — uma delas está no código desde 2005 e pode derrubar ou dominar o servidor

Se a sua empresa tem um site, um portal do cliente ou uma API, há uma boa chance de existir um nginx no caminho — às vezes à vista, como servidor web, às vezes escondido, como o “porteiro” (o proxy reverso) que recebe as conexões da internet e as distribui para os sistemas de dentro. É um software discreto, que raramente vira notícia. Nesta semana virou.

Em 14 de outubro, o projeto lançou as versões 1.30.6 (linha estável) e 1.31.7 (linha principal) com correções para cinco vulnerabilidades de uma vez. A F5, dona do nginx desde 2019, registrou as falhas no catálogo oficial de CVEs no mesmo dia.

A falha que estava lá desde 2005

A mais chamativa é a CVE-2026-15176. O defeito aparece numa combinação específica de configuração: um bloco location que usa a diretiva alias junto com rewrite e um set ou return que consulte a variável $request_filename — ou essa mesma variável usada no formato do log de acesso. Nessas condições, uma requisição montada por qualquer pessoa na internet, sem login, pode estourar um espaço de memória do processo que atende as conexões.

Pela lista oficial do nginx, ficam vulneráveis as versões da 0.1.29 à 1.31.6. A 0.1.29 é de 2005: o problema acompanha o software há duas décadas.

O resultado mais provável é o processo reiniciar — o site soluça, e um atacante insistente pode transformar isso em indisponibilidade. O pior cenário é a execução de código no servidor, mas o próprio registro da falha faz a ressalva: isso exige que a proteção de memória ASLR esteja desligada ou que o atacante consiga contorná-la.

Nota “média” ou 9,2?

Aqui vale um alerta de leitura. Na página de avisos do nginx, a falha aparece com gravidade “medium”. No registro oficial da CVE, a F5 deu 8,1 na escala CVSS 3.1 e 9,2 na versão 4.0. As duas coisas são verdade ao mesmo tempo: o estrago potencial é alto, mas a exploração depende de uma configuração que nem todo mundo tem e, nas palavras do aviso, de “condições fora do controle do atacante”. Tradução: não é motivo de pânico, é motivo de verificar.

As outras quatro

• CVE-2026-97205 — uso de memória já liberada quando a leitura assíncrona de arquivos (AIO) está ligada e uma página com SSI usa include virtual. Mesma nota 8,1 e o mesmo tipo de risco: travar o processo ou, sem ASLR, executar código. Vulneráveis da 0.8.11 à 1.31.6.
• CVE-2026-93479 — estouro de memória quando uma diretiva map com expressão regular tem suas capturas usadas antes da variável de saída. Também 8,1. Atinge versões recentes: 1.30.0 a 1.30.5 e 1.31.2 a 1.31.6.
• CVE-2026-97629 — com cache de sessão TLS compartilhado e sem arquivo de chave de ticket definido explicitamente, um atacante pode forjar sessões e driblar a exigência de certificado do cliente — a autenticação mútua usada em muitas integrações entre empresas. Nota 6,5.
• CVE-2026-95101 — no HTTP/3 com proxy_request_buffering ligado, é possível injetar dados na requisição repassada ao sistema de trás. Nota 5,3.

Os registros oficiais não mencionam ataques em andamento. O NGINX Plus, a versão comercial, e os produtos da F5 construídos sobre ele também receberam versões corrigidas.

Como saber se é com você

A conversa com a TI — ou com o fornecedor do site — cabe em três perguntas:

1. Qual versão do nginx roda nos nossos servidores? O comando nginx -v responde. Abaixo de 1.30.6 (ou de 1.31.7, na linha principal), há atualização pendente.
2. A configuração usa alias com rewrite, map com expressão regular, SSI com AIO ou certificado de cliente? O comando nginx -T mostra a configuração inteira em uso; dá para procurar essas palavras em minutos.
3. Onde mais existe nginx que ninguém lembra? Ele vem embutido em appliances, painéis de administração, contêineres e controladores de Kubernetes. O servidor “do site” costuma ser o único que todo mundo lembra de atualizar.

Para quem não pode atualizar já, há paliativos para cada falha: tirar o alias desses blocos, trocar as capturas sem nome por capturas nomeadas no map, desligar AIO ou SSI onde não fazem falta. São remendos. A correção de verdade é a versão nova.

O porteiro também envelhece

Empresas costumam caprichar na segurança do que fica “dentro”: o ERP, o banco de dados, o servidor de arquivos. O nginx fica na porta, recebendo tudo o que vem de fora, inclusive o que não deveria vir — e, justamente por funcionar tão bem, é esquecido. Uma falha que passou vinte anos sem ser notada é um lembrete de que até o software mais confiável da casa precisa de revisão de tempos em tempos.

Fontes

• nginx — Security advisories (lista oficial de falhas, versões vulneráveis e corrigidas): nginx.org
• nginx — anúncio das versões 1.30.6 e 1.31.7 (14/10/2026): nginx.org
• CVE Program — CVE-2026-15176, registro da F5 (CVSS 3.1: 8,1; CVSS 4.0: 9,2): cve.org

• CVE Program — CVE-2026-97205: cve.org · CVE-2026-93479: cve.org · CVE-2026-97629: cve.org · CVE-2026-95101: cve.org

• Foto de capa: estande da F5, dona do nginx, na feira de segurança it-sa 2017, em Nuremberg — Ordercrazy, CC0, via Wikimedia Commons

• Segunda imagem: F5 Tower (à esquerda), sede da F5 em Seattle, ao lado do Columbia Center — Joe Mabel, CC BY-SA 4.0, via Wikimedia Commons