nginx 1.31.7 ve 1.30.6 Güvenlik Güncellemesi: alias, HTTP/3, TLS Oturum Bileti ve SSI'da 5 Açık Kapatıldı

Beş açık tek tabloda (Vulnerabilities)

Düzeltilmiş sürümler: 1.31.7 ve üstü, 1.30.6 ve üstü. nginx'in kendi sınıflandırmasında beşi de "medium". Ancak etkilenen sürüm aralıklarına bakınca, CVE-2026-15176 ve CVE-2026-97205 neredeyse nginx'in bütün tarihini kapsıyor. Eylül'deki 1.31.6 / 1.30.5 sürümü de HTTP/3'teki başka bir taşmayı (CVE-2026-90439) kapatmıştı; iki aydır üst üste güvenlik sürümü geliyor.

Hangi yapılandırmalar risk altında? (Who is affected)

Açıkların çoğu belirli bir yönergeyle ortaya çıkıyor. Yapılandırmanızda bu satırların olup olmadığına bakmak, aciliyeti belirlemenin en hızlı yolu:

# alias + rewrite birlikte mi kullanılıyor? (CVE-2026-15176)
grep -rnE "^\s*(alias|rewrite)\s" /etc/nginx/

# HTTP/3 açık mı? (CVE-2026-95101)
grep -rnE "listen .*quic|http3 on" /etc/nginx/

# Oturum bileti anahtar dosyası birden fazla mı? (CVE-2026-97629)
grep -rn "ssl_session_ticket_key" /etc/nginx/

# SSI ve AIO birlikte mi? (CVE-2026-97205)
grep -rnE "^\s*(ssi on|aio )" /etc/nginx/

• alias + rewrite: Statik dosya veya indirme dizinlerini alias ile sunan, aynı location'da URL'yi rewrite ile değiştiren yapılandırmalar. Paylaşımlı hosting ve eski uygulamaların taşındığı sunucularda sık görülür.
• Değişkenli ifadeler: root içinde değişken kullanan (ör. root /var/www/$host;) ve değişkenli log_format tanımlayan yapılandırmalar. Bu açık yalnız 1.30.x ve 1.31.2 sonrasını etkiliyor.
• HTTP/3: QUIC dinleyicisi açık sunucular. Proxy arkasındaki uygulamaya beklenmeyen veri gidebileceği için, gövde boyutu sınırına güvenen API'ler özellikle etkileniyor.
• Oturum bileti döndürme: ssl_session_ticket_key yönergesini birden fazla dosyayla kullananlar. Varsayılan yapılandırma bu yönergeyi kullanmaz.
• SSI + AIO: Daha nadir; eski sitelerde SSI ile parça birleştirenler ve büyük dosyalar için aio açanlar.

njs 1.0.2 XML açıkları (njs)

nginx'in JavaScript modülü njs için de aynı gün 1.0.2 yayımlandı. Hatalı biçimlendirilmiş XML ayrıştırılırken bellek tükenmesi (CVE-2026-101025) ve imzalı XML doğrulamasını etkileyen tutarsız öznitelik değerleri (CVE-2026-101019) kapatıldı. njs ile SAML veya XML imza doğrulaması yapıyorsanız ikinci açık doğrudan sizi ilgilendirir: kimlik doğrulama kararını XML imzasına bağlayan her akış gözden geçirilmeli.

1.31.7'deki yeni özellikler (New features)

• MaxMind DB (MMDB) desteği: ngx_http_geoip_module ve ngx_stream_geoip_module artık MMDB biçimindeki veritabanlarını okuyabiliyor. Eski GeoIP biçimi yıllardır güncellenmiyordu; ülke bazlı engelleme veya yönlendirme yapanlar için ek modül gereği azalıyor.
• Arka uç sertifikasını IP adresiyle doğrulama: Proxy hedefi IP adresiyle tanımlıysa, arka uç SSL sertifikası IP üzerinden doğrulanabiliyor.
• QUIC ve quic_bpf: Yeniden yükleme ve ikili yükseltme artık quic_bpf açıkken de çalışıyor.
• HTTP/2 önceliklendirme: ngx_http_v2_module RFC 9218 önceliklendirme şemasına geçti; eski RFC 7540 öncelik sinyalleri yok sayılıyor.

Eylül'deki 1.31.5 ile gelen control API, predicate locations ve JSON modülü de mainline'da. Bu özellikleri istemiyorsanız stable hat (1.30.6) güvenlik açısından yeterli.

Güncelleme adımları (Upgrade steps)

1. Sürümü öğrenin: nginx -v. Dağıtım paketi kullanıyorsanız, dağıtımın güvenlik duyurusunu takip edin; bazı dağıtımlar yamayı eski sürüm numarasına geri taşır (backport).
2. nginx.org deposunu kullanıyorsanız paketi güncelleyin: Debian/Ubuntu'da apt update && apt install nginx, RHEL tabanlılarda dnf upgrade nginx.
3. Yapılandırmayı doğrulayın: nginx -t.
4. Kesintisiz yeniden yükleyin: systemctl reload nginx (ikili değiştiği için tam yükseltmede systemctl restart nginx veya ikili yükseltme sinyali gerekir).
5. Hemen güncelleyemiyorsanız geçici önlem: HTTP/3 dinleyicisini kapatın, alias kullanan location'larda rewrite yerine try_files veya root kullanın.

Alesta WEB olarak yönettiğimiz sunucularda web sunucusu güncellemelerini, önce yapılandırma testi ve ardından kesintisiz yeniden yükleme ile yapıyoruz; bu tür yönergeye bağlı açıklarda ilk iş, yukarıdaki gibi bir grep taramasıyla hangi sitelerin gerçekten etkilendiğini çıkarmak.

Sık sorulan sorular

Açıklar uzaktan kod çalıştırmaya izin veriyor mu?

Duyuruda uzaktan kod çalıştırma ifadesi yok. Tampon taşması ve use-after-free türleri genelde worker sürecinin çökmesine yol açar; belirli koşullarda daha ağır sonuçlar teorik olarak mümkün. Bu yüzden "orta" derece olsa da güncellemeyi ertelemeyin.

Stable mı mainline mı kullanmalıyım?

İkisi de aynı güvenlik düzeltmelerini aldı. Yeni özelliklere ihtiyacınız yoksa 1.30.6 stable hattı yeterli.

HTTP/3 kullanmıyorum, yine güncellemeli miyim?

Evet. Beş açıktan yalnız biri HTTP/3'e bağlı; alias, değişkenli ifadeler, oturum biletleri ve SSI açıkları HTTP/1.1 ve HTTP/2 sunucularını da etkiliyor.

njs kullanmıyorum, njs 1.0.2 gerekli mi?

Hayır. njs modülü yüklü değilse bu iki açık sizi etkilemez.

İlgili yazılar: OpenSSH 10.6 · Let's Encrypt 64 günlük sertifika · CISA KEV: ProFTPD, BIND, Struts · Web hosting · İletişim

Kapak fotoğrafı: Scott Rodgerson / Unsplash