TechAtelier

CYBERSÉCURITÉ · 27 OCTOBRE 2026

Nginx : cinq failles corrigées, comment vérifier son serveur ?

L'avis Ubuntu USN-8955-1 publié le 26 octobre 2026 corrige cinq vulnérabilités Nginx. Toutes les installations ne présentent pas la même exposition : voici ce qu'il faut contrôler sans perturber la production.

Cinq vulnérabilités, des conditions différentes

Le bulletin Ubuntu USN-8955-1 documente cinq failles : CVE-2026-15176 (association de alias et rewrite), CVE-2026-93479 (directives map avec expressions régulières), CVE-2026-95101 (HTTP/3 et proxy_request_buffering), CVE-2026-97205 (entrées/sorties asynchrones et SSI) et CVE-2026-97629 (tickets de session SSL avec cache partagé et rotation des clés). Selon le cas et la configuration, les conséquences possibles vont d'un déni de service à l'exécution de code ou au contournement de la vérification des certificats clients. Ces issues ne concernent pas uniformément chaque serveur.

Qui est concerné ?

L'avis couvre plusieurs versions Ubuntu. La vulnérabilité HTTP/3 décrite ne concerne, selon Ubuntu, que 26.04 LTS et 26.10. Celle des tickets SSL concerne 24.04 LTS, 26.04 LTS et 26.10. La compilation d'un module HTTP/3 ou SSL ne prouve pas qu'il est actif dans la configuration de production.

Versions corrigées par Ubuntu

  • Ubuntu 26.04 LTS : 1.28.3-2ubuntu1.12
  • Ubuntu 24.04 LTS : 1.24.0-2ubuntu7.19
  • Ubuntu 22.04 LTS : 1.18.0-6ubuntu14.22

Ces numéros sont ceux des paquets Ubuntu. Une installation issue d'un autre dépôt, d'un conteneur ou d'une compilation manuelle doit être évaluée avec les avis de son fournisseur.

Contrôles à effectuer sans interruption

  1. Identifier la version complète du paquet : dpkg-query -W nginx nginx-common, puis apt-cache policy nginx.
  2. Lire les paramètres de compilation avec nginx -V et inspecter la configuration active avec sudo nginx -T en gardant à l'esprit qu'elle peut contenir des secrets : ne pas publier sa sortie brute.
  3. Comparer les directives actives aux conditions précisées dans l'avis : alias, rewrite, map, quic, proxy_request_buffering, aio, ssi et gestion des sessions TLS.
  4. Prévoir une fenêtre de maintenance si une mise à jour est nécessaire, tester la syntaxe avec sudo nginx -t puis contrôler les réponses HTTPS et les services après l'application du correctif.

Pourquoi « nginx -v » ne suffit pas

La commande nginx -v affiche la version amont, mais pas la révision complète du paquet Ubuntu. Les correctifs de sécurité peuvent être rétroportés : pour confirmer la correction, il faut comparer la version du paquet installé à celle publiée par Ubuntu, puis vérifier que le service utilise bien ce binaire.

Le conseil TechAtelier

Éviter de modifier au hasard les directives Nginx. Appliquer le correctif adapté à son mode d'installation, vérifier la syntaxe, contrôler les endpoints critiques et conserver une possibilité de restauration. Les tests de disponibilité après maintenance comptent autant que le numéro de version.

Sources

Ubuntu — USN-8955-1, 26 octobre 2026 · Nginx — avis de sécurité officiels.