NGINX : vérifiez la version et les directives utilisées

Le correctif dépend du produit et de la branche

L’avis CERTFR-2026-AVI-1341 du 19 octobre regroupe plusieurs produits F5. Pour NGINX Open Source, il liste les versions antérieures à 1.30.6 et les versions 1.31.x antérieures à 1.31.7. Pour NGINX Plus, les repères indiqués sont 37.0.5.1 et 37.1.0.1 selon la branche. Ils ne constituent pas un numéro de mise à jour commun à toute la gamme.

Le même avis nomme aussi des contrôleurs Ingress, Gateway Fabric et des produits de protection applicative. Identifiez donc le composant réellement installé. Si votre hébergeur le maintient, demandez-lui confirmation du traitement de l’avis plutôt que de changer vous-même une image ou un paquet sans connaître son rôle.

Trois failles, des conditions différentes

Les descriptions de F5 présentes dans les fiches NVD ne décrivent pas une attaque qui fonctionnerait sur tout serveur portant le nom NGINX. Elles précisent notamment les configurations suivantes.

• CVE-2026-15176 : combinaison de la directive alias avec rewrite et certaines utilisations de la variable $request_filename, notamment via set, return ou le format des journaux d’accès.
• CVE-2026-97205 : entrées-sorties asynchrones (AIO) activées dans certaines configurations et traitement d’une page SSI contenant des commandes include virtual.
• CVE-2026-93479 : directive map avec expression régulière et réutilisation de ses captures dans certaines conditions ; la description mentionne aussi un cas avec variable non mise en cache.

Debian ajoute HTTP/3 et les tickets TLS

Le bulletin Debian DSA-6575-1 du 21 octobre couvre cinq CVE et donne 1.26.3-3+deb13u10 comme paquet corrigé pour trixie. Son préfixe 1.26.3 n’annule pas les correctifs rétroportés. En plus des trois failles ci-dessus, il inclut CVE-2026-95101 et CVE-2026-97629.

Pour CVE-2026-95101, la description F5 dans le NVD précise HTTP/3 avec proxy_request_buffering on : un attaquant sans compte peut injecter des données dans la requête transmise au serveur amont. Pour CVE-2026-97629, elle décrit ssl_session_cache shared:name:size sans fichier ssl_session_ticket_key explicite. Des sessions TLS forgées de façon non déterministe peuvent permettre de contourner la vérification des certificats clients.

NGINX Plus demande un repère supplémentaire : pour CVE-2026-95101, les bornes de versions affectées fournies par F5 sont 37.0.7.1 et 37.2.0.1 selon la branche. Ne prenez pas 37.0.5.1 ou 37.1.0.1, cités pour d’autres correctifs, comme protection de toute la gamme.

Vérifier le serveur sans casser son rôle de passerelle

Relevez le produit, la branche, le paquet ou l’image déployée et la personne qui le maintient. Préparez le correctif correspondant, avec une sauvegarde de la configuration et un moyen de revenir à un service utilisable. Vérifiez ensuite les sites et applications qui passent par ce serveur, pas seulement sa page d’accueil.

Ne retirez pas une directive au hasard en guise de correctif : elle peut servir à vos chemins de fichiers, à votre application ou à vos journaux. Les conditions techniques aident à évaluer l’exposition ; elles ne remplacent pas le traitement du bulletin pour la version installée.

• Auto-hébergement : qui entretient les composants exposés ?↗

Pas une preuve d’exploitation active

Les trois fiches NVD des failles initiales sont au statut Awaiting Analysis. Les descriptions techniques sont attribuées à F5. Le marquage du coordinateur CISA qu’elles portent, daté du 15 octobre, indique exploitation: none. Cela ne prouve pas qu’aucune attaque n’existe ; nous ne présentons pas ces failles comme activement exploitées.

SecuFocus n’a pas rejoué les attaques ni validé une configuration NGINX. Nous n’avons pas ouvert les bulletins F5 hors de notre liste de veille. Les versions viennent du CERT-FR et les conditions des trois fiches NVD, pas du seul article de presse qui a signalé le sujet.