NGINX-Sicherheitsupdate (Rift und CVEs 2026)
NGINX hat 2026 mehrere Wellen von Korrekturen veröffentlicht: NGINX Rift (CVE-2026-42945) im Mai, CVE-2026-42533 mit öffentlichem Proof of Concept und fünf CVEs im Oktober, darunter Request Smuggling über HTTP/3 und eine TLS-Session-Fälschung, die die Prüfung von Client-Zertifikaten umgeht. Für alle Korrekturen braucht es 1.31.7 oder neuer (Mainline) oder 1.30.6 oder neuer (Stable).
Haben Sie diese Schwachstelle? Wir aktualisieren NGINX auf Ihren Servern und in Containern, prüfen die Konfiguration, die einige dieser Lücken erst ausnutzbar macht, und kontrollieren, dass alles wie vorher ausgeliefert wird.
$ nginx -vnginx version: nginx/1.30.2# Stable < 1.30.6: Oktober-Korrekturen fehlen$ nginx -V 2>&1 | grep -o with-http_v3_modulewith-http_v3_module# HTTP/3 einkompiliert: CVE-2026-95101 prüfen$ grep -rnE 'request_filename|alias ' /etc/nginx//etc/nginx/sites-enabled/app.conf:14: alias /var/www/static/;# alias auf öffentlichem Pfad: Muster von CVE-2026-151761.31.7+ (mainline) · 1.30.6+ (stable)Drei Wellen von NGINX-Lücken im Jahr 2026
Wer im Mai wegen Rift aktualisiert hat, dem fehlen die späteren Korrekturen. Und wer das NGINX seiner Distribution nutzt, sieht womöglich eine alte Versionsnummer, obwohl das Paket die Patches enthält: Maßgeblich ist das Security-Advisory des Anbieters.
NGINX Rift (CVE-2026-42945) fand die KI-Plattform von DepthFirst im Mai in rund sechs Stunden; der Fehler stammte aus Version 0.6.27 von 2008. Betroffen ist NGINX Open Source von 0.6.27 bis 1.30.0, behoben in 1.31.0 und 1.30.1. nginx.org stuft die Lücke als mittel ein; Cloud Security Alliance und Help Net Security behandeln sie als kritisch (9.2). Laut Help Net Security sah VulnCheck ab dem 16. Mai Ausnutzungsversuche.
Danach kam CVE-2026-42533, behoben in 1.31.3 und 1.30.4, für die DepthFirst einen Proof of Concept mit vollständiger Angriffskette veröffentlichte. Im Oktober folgte eine Welle von fünf: CVE-2026-15176, CVE-2026-93479, CVE-2026-95101 (Request Smuggling über HTTP/3), CVE-2026-97629 (TLS-Session-Fälschung, die die Prüfung von Client-Zertifikaten umgeht) und CVE-2026-97205, alle behoben in 1.31.7 und 1.30.6.
Quellen: nginx.org security advisories · Cloud Security Alliance · Help Net Security
Korrigierte NGINX-Versionen
Vergleichen Sie Ihre Version mit dieser Tabelle. Sie gilt für NGINX Open Source von nginx.org oder selbst kompiliert; bei Distributionspaketen prüfen Sie das Advisory des Anbieters für jede CVE.
| Wenn Sie haben | Update auf | Was fehlt |
|---|---|---|
| 1.31.3 – 1.31.6 | 1.31.7+ | Die Oktober-Welle |
| 1.31.0 – 1.31.2 | 1.31.7+ | CVE-2026-42533 und die Oktober-Welle |
| 1.30.4 – 1.30.5 | 1.30.6+ | Die Oktober-Welle |
| 1.30.1 – 1.30.3 | 1.30.6+ | CVE-2026-42533 und die Oktober-Welle |
| 0.6.27 – 1.30.0 | 1.30.6+ oder 1.31.7+ | Rift und alles danach |
Prüfen Sie das
-
nginx -vzeigt eine ältere Version als 1.31.7 (Mainline) oder 1.30.6 (Stable). - HTTP/3 ist aktiviert: Das Request Smuggling aus CVE-2026-95101 betrifft Sie.
- Sie verlangen Client-Zertifikate (
ssl_verify_client): CVE-2026-97629 erlaubt es, diese Prüfung zu umgehen. - Ihre Konfiguration nutzt
$request_filenameoderalias(CVE-2026-15176) oder reguläre Ausdrücke mit unbenannten Captures (CVE-2026-93479). - NGINX läuft in Docker-Images oder als Kubernetes-Ingress: Jedes Image wird separat aktualisiert.
Konfigurationsänderungen bis zum Update
nginx.org empfiehlt für einige Oktober-Lücken Anpassungen der Konfiguration. Sie verringern das Risiko für genau diese CVEs; für Rift und die übrigen hilft nur das Update.
- 01 CVE-2026-15176:
$request_filenameundaliasin exponiertenlocation-Blöcken vermeiden. - 02 CVE-2026-93479: benannte Captures wie
(?<pfad>.+)statt unbenannter ($1,$2) verwenden. - 03 In jedem
server-Block prüfen, ob HTTP/3 und Client-Zertifikate wirklich gebraucht werden: Genau diese Funktionen betreffen CVE-2026-95101 und CVE-2026-97629. - 04 Vor dem Reload
nginx -t. Ein Syntaxfehler in Produktion legt mehr Dienste lahm als die Lücke, die Sie gerade schließen.
Sieben Schritte, in dieser Reihenfolge
Wir wenden auf jedem Server dasselbe Verfahren an: zuerst klären, welche Version wo läuft, dann korrigieren und zum Schluss prüfen, ob vor dem Patch jemand eingedrungen ist.
Versionsinventar
Wir erfassen jedes NGINX: Server, Load Balancer, Container und Ingress, mit Version, einkompilierten Modulen (nginx -V) und Herkunft des Pakets: nginx.org, Distribution oder Docker-Image.
Sofortmaßnahme
Wir suchen $request_filename, alias und unbenannte Captures in der Konfiguration und ändern sie, wo das möglich ist, ohne zu verändern, was die Website ausliefert.
Update
Wir wechseln auf 1.31.7+ oder 1.30.6+ oder auf das gepatchte Paket Ihrer Distribution und bauen die Images neu, die NGINX enthalten.
Prüfung
Wir führen nginx -t aus, laden neu und prüfen Weiterleitungen, Zertifikate, HTTP/2 und HTTP/3 sowie die Pfade für statische Dateien.
Suche nach Kompromittierungsindikatoren
Wir durchsuchen Access- und Error-Logs nach auffälligen Anfragen, zurück bis Mai, wenn der Server auf einer von Rift betroffenen Version lief.
Rotation von Secrets, falls nötig
Gibt es Hinweise auf einen Einbruch, erneuern wir TLS-Zertifikate und private Schlüssel sowie die Zugangsdaten, die über den Proxy laufen.
Beobachtung neuer Advisories
Wir halten Version und Herkunft jedes NGINX fest, damit die nächste Welle von nginx.org-Advisories bei diesem Inventar ansetzt.
Was ein reines Rift-Update auslässt
Mehrere NGINX im Einsatz und unklar, welche Version wo läuft?
Kostenlose Beratung →Häufige Fragen zu den NGINX-CVEs 2026
Was ist NGINX Rift?
Ich habe wegen Rift schon aktualisiert. Bin ich abgesichert?
Meine Distribution liefert eine ältere Version. Bin ich betroffen?
Kann ich mich allein über die Konfiguration schützen?
Sagen Sie uns, wo Ihr NGINX läuft
Wir beginnen mit dem Inventar: Version, Paketherkunft und Module jedes NGINX und welche Konfiguration vor dem Update angepasst werden muss.
Erzählen Sie uns Ihre Herausforderung. Wir schlagen die Lösung vor.
Unverbindlich. Innerhalb von 24 Stunden erhalten Sie ein Angebot mit Umfang, Zeitplan und Budget. Ohne Kleingedrucktes.