Kalau website instansi, desa, sekolah, atau aplikasi kantor Anda berjalan di atas Nginx, ada pembaruan keamanan yang sebaiknya tidak ditunda minggu ini. Pada 14 Oktober 2026, Nginx merilis versi 1.30.6 dan 1.31.7 untuk menambal lima kerentanan sekaligus. Salah satu di antaranya sudah ada di hampir setiap rilis Nginx sejak Mei 2005 — artinya server yang belum pernah diperbarui selama bertahun-tahun berpotensi masuk kategori paling rentan.

Lima Kerentanan yang Ditambal

Tiga di antaranya adalah bug memori yang menurut F5 (perusahaan di balik Nginx) bisa membuat worker process mati mendadak atau, dalam kondisi tertentu, membuka peluang eksekusi kode (remote code execution) oleh penyerang. Namun penting dicatat: ketiganya baru bisa dieksploitasi bila konfigurasi server Anda memakai salah satu direktif tertentu.

• CVE-2026-15176 — heap overflow pada lokasi yang memakai alias bersamaan dengan rewrite yang mengubah URI, dan ada direktif yang membaca $request_filename (mis. return, set, if, add_header, atau format access log). Versi yang terdampak: 0.1.29 sampai 1.31.6 — inilah celah warisan yang sudah ada sejak 2005.
• CVE-2026-93479 — heap overflow pada pemakaian regex map yang variabel tangkapannya dirujuk oleh root atau log_format sebelum variabel keluaran map tersebut. Versi terdampak: 1.30.0–1.30.5 dan 1.31.2–1.31.6.
• CVE-2026-97205 — use-after-free bila aio diaktifkan dan server menyajikan halaman SSI dengan perintah include virtual. Versi terdampak: 0.8.11–1.31.6.

Kerentanan keempat menyangkut TLS dan cukup perlu diwaspadai bagi instansi yang memakai otentikasi sertifikat klien (client certificate). Masalahnya ada pada rotasi otomatis kunci session ticket: sejak versi 1.23.2 (Oktober 2022), penggunaan shared session cache membuat Nginx membuat dan merotasi kunci tiket sendiri, kecuali Anda memuat kunci dari file. Setiap worker menyimpan tiga slot kunci, tetapi proses rotasi hanya menyalin dua slot — slot ketiga berisi sisa data memori sebelumnya. Tiket yang menunjuk slot itu bisa diverifikasi dan didekripsi dengan materi kunci tak terinisialisasi tersebut, dan catatan perbaikan resmi menyebut kondisi ini bisa "allowing a forged session".

Kelima, klien HTTP/3 dapat menyelipkan byte tambahan ke dalam permintaan yang kemudian diteruskan Nginx ke server backend.

Seberapa Serius?

Nginx sendiri menilai kelima celah ini pada level medium. F5 berbeda: tiga bug memori diberi skor 9,2 (Critical) pada CVSS v4.0, celah TLS 8,3, dan celah HTTP/3 6,9. Sampai 15 Oktober 2026, kelima CVE ini belum masuk katalog Known Exploited Vulnerabilities CISA dan belum ada laporan serangan dari Nginx maupun F5. Artinya: belum ada yang mengeksploitasi, tetapi juga belum ada alasan untuk menunggu.

Langkah Memperbarui Server

1. Cek versi Anda: jalankan nginx -v. Bila hasilnya 1.30.5 ke bawah atau 1.31.6 ke bawah, server Anda termasuk terdampak.
2. Perbarui paket resmi lebih dulu: apt update && apt upgrade nginx (Debian/Ubuntu) atau dnf update nginx (RHEL/AlmaLinux). Kalau repositori distribusi Anda belum menyediakan 1.30.6/1.31.7, gunakan repositori resmi nginx.org.
3. Uji konfigurasi sebelum reload: nginx -t. Jangan lewati langkah ini, terutama bila Anda memakai alias, map regex, atau SSI.
4. Muat ulang tanpa memutus koneksi pengguna: systemctl reload nginx (hindari restart di jam kerja).
5. Verifikasi ulang dengan nginx -v dan pastikan website tetap merespons normal (HTTP 200).

Bila modul JavaScript Nginx (njs) dipakai, perbarui juga ke njs 1.0.2 yang dirilis hari yang sama dan menambal dua celah penanganan XML berseveritas medium: CVE-2026-101025 dan CVE-2026-101019.

Kalau Belum Bisa Upgrade Sekarang

F5 memberikan langkah mitigasi sementara untuk masing-masing celah:

• Agar CVE-2026-15176 tidak bisa disentuh: jangan gunakan alias pada lokasi tersebut, dan jangan pakai variabel $request_filename.
• Agar CVE-2026-93479 aman: gunakan named captures pada regex, dan rujuk hanya di dalam blok yang berisi pencocokan regex itu.
• Agar CVE-2026-97205 tidak terekspos: matikan aio, atau berhenti menyajikan halaman SSI.

Untuk celah TLS, pertimbangkan memuat session ticket key dari file agar rotasi otomatis Nginx tidak dipakai. Untuk celah HTTP/3, langkah paling aman tetap memperbarui versi — perhatikan bahwa salah satu kondisi pemeriksanya aktif secara default.

Catatan untuk Pengelola TI Instansi

Kasus ini pengingat klasik: menambal satu paket bisa menyelesaikan banyak celah sekaligus, tetapi manfaatnya baru terasa jika ada jadwal pemeliharaan rutin. Untuk instansi, desa, dan sekolah yang server-nya kami kelola, siklusnya sederhana — periksa kabar kerentanan tiap pekan, tambal di luar jam layanan, uji konfigurasi, baru reload. Catat juga versi Nginx setiap server dalam inventaris: tanpa catatan versi, Anda tidak akan pernah tahu server mana yang perlu ditambal lebih dulu.

Sumber: The Hacker News — NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks; Nginx Security Advisories; njs Security Advisories.