NGINX'te Üç Güvenlik Açığı Yamalandı: CVE-2026-15176, 97205 ve 93479

NGINX'in 14 Ekim 2026'da yayımlanan 1.31.7 (mainline) ve 1.30.6 (stable) sürümleri CVE-2026-15176, CVE-2026-97205 ve CVE-2026-93479 numaralı üç güvenlik açığını kapattı. Üçü de ancak belirli yapılandırmalarda tetikleniyor; kayıtlarda bu açıkların istismar edildiğine dair bilgi bulunmuyor.

Bu sayfa nginx.org duyuru sayfası ve değişiklik günlüğü, F5'in CVE kaydı ve Kanada Siber Güvenlik Merkezi'nin 15 Ekim 2026 tarihli bülteni (AV26-1049) esas alınarak yazılmıştır. F5'in kendi destek makaleleri (K makaleleri) okunamadığı için sayfadaki puanlar "F5'in CVE kaydına göre" şeklinde aktarılmıştır.

Künye

Üç Açığın Koşulları

CVE-2026-15176, ngx_http_core_module içinde bir heap tampon taşmasıdır. Yapılandırmada alias yönergesi ile rewrite birlikte kullanılıyor ve $request_filename değişkeni set, return ya da erişim günlüğü biçiminde yer alıyorsa tetiklenebilir. F5'in önerdiği geçici önlem, bu birleşimden kaçınmaktır.

CVE-2026-97205, aynı modülde bir bellek kullanım hatasıdır (use-after-free). Eşzamansız G/Ç (aio) açıkken ve belirli bir yapılandırmada include virtual içeren bir SSI sayfası işlenirken ortaya çıkıyor. Geçici önlem, aio yönergesini kapatmak ya da SSI sayfası sunmamaktır. Etkilenen alt sürüm sınırı kaynaklar arasında farklı yazıldığı için bu sayfada yalnızca "1.30.6 ve 1.31.7 öncesi" ifadesi kullanılmıştır.

CVE-2026-93479, dize ifadelerinin değerlendirilmesinde bir heap tampon taşmasıdır. Regex eşlemeli bir map yönergesi ile root yönergesi ya da erişim günlüğü biçimi belirli bir sırada yakalama değişkenlerine başvurduğunda tetikleniyor. Geçici önlem olarak isimsiz yakalama yerine isimli yakalama kullanılması öneriliyor.

"Kritik" mi, "Orta" mı?

Kaynaklar arasındaki bu fark gerçektir: F5'in CVE kaydı v3.1'de 8.1 (Yüksek), v4.0'da 9.2 (Kritik) veriyor; nginx.org ise üçünü de "medium" olarak etiketliyor. Kayıtlara göre saldırgan kimlik doğrulaması olmadan hazırlanmış HTTP istekleriyle açığı tetikleyebilir, ancak başarı için saldırganın kontrolü dışındaki koşullar gerekiyor. Sonuç çoğunlukla worker sürecinin yeniden başlaması (hizmet kesintisi) olarak tarif ediliyor; ASLR kapalıysa ya da aşılabiliyorsa kod çalıştırma "mümkün" olarak belirtiliyor. Bu nedenle bu sayfada "uzaktan kod çalıştırma açığı" gibi kesin bir ifade kullanılmamıştır.

Benzer Güvenlik Duyuruları

Aynı dönemdeki başka bir ağ ürünü açığı için Palo Alto PAN-OS CVE-2026-0322 sayfamıza bakabilirsiniz.

Bu Sayfada Ne Yok?

• F5 K makalelerinin metni: sayfalar okunamadığı için yazılmamıştır.
• CVE-2026-97205 için kesin etkilenen alt sürüm: kaynaklar çelişiyor.
• Saldırı kodu, istismar adımları ya da çalışan bir kavram kanıtı yoktur.
• Aktif istismar iddiası: kayıtlarda böyle bir bilgi bulunmadığı için yazılmamıştır.
• NGINX Plus ve diğer F5 ürünlerinin hangi sürümlerinin hangi CVE'den etkilendiği: doğrulanamadığı için yazılmamıştır.
• Aynı sürümde kapatılan CVE-2026-95101 ve CVE-2026-97629'un ayrıntıları: doğrulanamadığı için yazılmamıştır.
• Türkiye'deki etkilenen sunucu sayısı: kaynakta yoktur.

Sık Sorulan Sorular

Yamalar ne zaman çıktı?

NGINX 1.31.7 ve 1.30.6, nginx.org değişiklik günlüğüne göre 14 Ekim 2026'da yayımlandı. Kanada Siber Güvenlik Merkezi bülteni 15 Ekim 2026 tarihlidir.

Hangi sürüme geçmek gerekiyor?

Mainline kullananlar için 1.31.7, stable kullananlar için 1.30.6 düzeltilmiş sürümdür.

Her NGINX kurulumu etkileniyor mu?

Hayır. Her açık belirli bir yapılandırma gerektiriyor: alias ile rewrite birleşimi, aio ile SSI ya da regex eşlemeli map kullanımı.

Açıklar saldırganlar tarafından kullanılıyor mu?

Kayıtlarda böyle bir bilgi yok. CISA'nın SSVC kaydında istismar "none" olarak geçiyor ve üç CVE de CISA KEV listesinde bulunmuyor.

Hemen güncelleme yapamayanlar ne yapmalı?

F5'in geçici önlemleri şunlar: alias ve $request_filename birleşimini kullanmamak, aio yönergesini kapatmak ya da SSI sayfası sunmamak, isimsiz regex yakalama yerine isimli yakalama kullanmak.

Kaynak ve kapsam: Bu sayfa nginx.org duyuru sayfası ve değişiklik günlüğü, F5'in yayımladığı CVE kayıtları ve Kanada Siber Güvenlik Merkezi'nin AV26-1049 sayılı bülteni (15 Ekim 2026) metinlerine dayanır. F5 K makaleleri okunamadığı, bazı etkilenen sürüm sınırları çeliştiği için yazılmamıştır.