nginx: Vulnerabilidades Críticas CVE-2026-15176, CVE-2026-97205 e CVE-2026-93479

🔎 O que aconteceu?

Foram divulgadas três vulnerabilidades críticas de segurança no NGINX, identificadas como CVE-2026-15176, CVE-2026-97205 e CVE-2026-93479.

As três vulnerabilidades apresentam uma classificação CVSS v4.0 de 9,2 (Critical) e afetam diferentes funcionalidades do NGINX. A exploração bem-sucedida pode provocar falhas nos processos worker, corrupção de memória e condições de Denial of Service (DoS), podendo, em determinadas configurações e condições, permitir Remote Code Execution (RCE).

O projeto NGINX disponibilizou versões corrigidas para estas vulnerabilidades.

⚠️ O que afeta?

No NGINX Open Source são afetadas as versões:

• 1.30.5 e anteriores
• 1.31.6 e anteriores

As vulnerabilidades dependem das funcionalidades e configuração utilizadas:

• CVE-2026-15176: buffer overflow associado à utilização das diretivas alias e rewrite;
• CVE-2026-97205: use-after-free associado a asynchronous file I/O (AIO) e Server Side Includes (SSI);
• CVE-2026-93479: buffer overflow associado à diretiva map.

A possibilidade de execução remota de código depende adicionalmente da configuração vulnerável estar presente e de determinadas condições do sistema, nomeadamente da possibilidade de contornar mecanismos de proteção de memória como ASLR.

🧠 Impacto técnico

Um atacante remoto não autenticado poderá, quando presentes as condições específicas de cada vulnerabilidade, provocar corrupção de memória ou o crash/restart de processos worker do NGINX.

O impacto poderá resultar em Denial of Service (DoS) e, em determinadas condições, poderá ser possível alcançar Remote Code Execution (RCE).

🛡️ Correção

O projeto NGINX disponibilizou as versões 1.30.6 stable e 1.31.7 mainline, que incluem as correções para estas vulnerabilidades.

A atualização para versões que incorporem estas correções constitui a solução recomendada.

🏗️ O que estamos a fazer

A WebTuga procedeu à atualização do NGINX nos servidores da sua infraestrutura onde este componente é utilizado.

A atualização foi aplicada aos ambientes de servidores cPanel onde NGINX é utilizado como reverse proxy para Apache, abrangendo a infraestrutura aplicável gerida pela WebTuga.

As versões/pacotes instalados incorporam as correções disponibilizadas para as vulnerabilidades identificadas.

Mantemos a infraestrutura sob monitorização após a aplicação das atualizações.

✅ Estado atual

🟢 Correções aplicadas: Em monitorização

As atualizações de segurança aplicáveis foram instaladas na infraestrutura WebTuga que utiliza NGINX como reverse-proxy para cPanel.

Não é necessária qualquer intervenção por parte dos clientes relativamente aos servidores geridos pela WebTuga abrangidos por esta atualização.

🧾 Conclusão

As vulnerabilidades críticas identificadas no NGINX foram corrigidas através da atualização dos sistemas afetados da infraestrutura WebTuga.

Continuaremos a acompanhar eventuais desenvolvimentos relacionados com estas vulnerabilidades e com as atualizações de segurança disponibilizadas pelo projeto NGINX.