5 Celah Keamanan Nginx Oktober 2026: Daftar CVE, Versi Patch, dan Tutorial Update aaPanel

Panduan ini ditujukan untuk administrator VPS dan pemilik website. Contoh perintah di bawah bersifat pemeriksaan dan pemulihan pada server milik sendiri. Artikel tidak menyertakan payload eksploit untuk mengambil alih sistem. Pengujian keberhasilan patch dilakukan dengan memeriksa versi, konfigurasi, layanan, dan fungsi normal aplikasi di lingkungan yang terkendali.

Ilustrasi keamanan server untuk artikel 5 Celah Keamanan Nginx Oktober 2026

1. Ringkasan: lima kerentanan Nginx pada Oktober 2026

Nginx menerbitkan pembaruan pada 14 Oktober 2026 untuk lima kerentanan dengan tingkat keparahan medium. Kelimanya bukan satu bug RCE yang sama. Dampaknya dan kondisi pemicunya berbeda, tergantung modul serta konfigurasi yang digunakan.

• CVE-2026-15176: buffer overflow saat penggunaan alias bersama rewrite.
• CVE-2026-93479: buffer overflow saat evaluasi script/string expression dengan variabel.
• CVE-2026-95101: request body injection pada HTTP/3.
• CVE-2026-97629: session forgery saat menggunakan TLS session tickets.
• CVE-2026-97205: use-after-free saat asynchronous file I/O (AIO) digunakan bersama modul SSI.

Jangan menyebut kelimanya sebagai RCE tanpa bukti. Advisory resmi Nginx memberi severity medium dan menjelaskan kelas bug di atas. Daftar advisory resmi Nginx.

2. Penjelasan dan skenario risiko tiap CVE

CVE-2026-15176 — buffer overflow pada alias + rewrite

Bug berkaitan dengan penanganan path ketika konfigurasi memakai directive alias dan rewrite. Administrator perlu meninjau virtual host yang menggabungkan kedua directive tersebut. Jangan menyalin atau menebak perubahan path secara acak; cek konfigurasi dan upgrade binary.

CVE-2026-93479 — buffer overflow saat evaluasi script

Kerentanan berkaitan dengan evaluasi string expression yang melibatkan variabel pada konfigurasi Nginx. Periksa konfigurasi kompleks yang memakai ekspresi/string berbasis variabel, termasuk konfigurasi yang dihasilkan otomatis oleh panel atau template.

CVE-2026-95101 — request body injection pada HTTP/3

Masalah berada pada pemrosesan request body melalui HTTP/3. Relevansinya lebih tinggi jika Nginx dibangun dengan modul HTTP/3 dan listener QUIC diaktifkan. Server yang hanya melayani HTTP/1.1 atau HTTP/2 tanpa HTTP/3 tidak memiliki jalur fitur yang sama, tetapi tetap harus memperbarui Nginx karena empat CVE lainnya berdiri sendiri.

CVE-2026-97629 — session forgery saat rotasi TLS session ticket

Bug berkaitan dengan penggunaan TLS session tickets dan rotasi kunci ticket. Jika konfigurasi mengaktifkan session tickets dan menggunakan mekanisme rotasi key, periksa pengaturan tersebut. TLS session ticket berbeda dari cookie login aplikasi.

CVE-2026-97205 — use-after-free pada SSI + AIO

Kerentanan berhubungan dengan penggunaan asynchronous file I/O bersama modul ngx_http_ssi_module. Jika website tidak menggunakan SSI atau AIO, jalur fitur ini mungkin tidak relevan pada konfigurasi tersebut; namun, jangan menjadikan asumsi itu alasan untuk menunda patch.

3. Versi Nginx yang terdampak dan versi yang diperbaiki

Rentang upstream di atas bukan pengganti pemeriksaan paket vendor. Distribusi Linux dapat membubuhkan patch ke paket dengan nomor upstream yang tampak lebih lama.

Untuk produksi, banyak administrator memilih jalur stable dan tetap mengikuti pembaruan stable terbaru. Mainline membawa perubahan lebih baru, tetapi pemilihan jalur harus mempertimbangkan kebutuhan dan paket modul. Nginx juga memperbaiki CVE-2026-90439 pada rilis 1.30.5/1.31.6, sehingga rilis 1.30.6 dan 1.31.7 ke atas juga melewati perbaikan tersebut.

Catatan paket distro: Ubuntu/Debian atau vendor panel dapat melakukan backport patch tanpa mengubah nomor upstream persis menjadi 1.30.6. Periksa changelog paket atau catatan aaPanel/vendor sebelum menyimpulkan status patch hanya dari nomor versi.

4. Pemeriksaan awal di VPS aaPanel

Jalankan pemeriksaan read-only berikut:

nginx -v
nginx -V 2>&1
command -v nginx
ps -ef | grep '[n]ginx'
nginx -t

nginx -v menunjukkan versi, nginx -V menampilkan parameter build/modul, dan nginx -t menguji sintaks konfigurasi. Perintah nginx -T dapat menampilkan seluruh konfigurasi aktif, termasuk nama domain dan path internal. Jika perlu menyimpannya untuk audit, lakukan hanya di server sendiri dengan izin file ketat:

umask 077
nginx -T > /root/nginx-config-audit.txt 2>&1
chmod 600 /root/nginx-config-audit.txt

Jangan mengunggah hasil nginx -T ke forum atau membagikannya tanpa menyensor domain internal, path, alamat upstream, dan informasi sensitif.

5. Periksa fitur/konfigurasi yang relevan

Pada instalasi aaPanel, konfigurasi utama sering berada di /www/server/nginx/conf/ dan virtual host dapat berada di /www/server/panel/vhost/nginx/. Lokasi bisa berbeda menurut metode instalasi. Jalankan pencarian berikut hanya pada direktori yang memang ada:

grep -RInE '\balias\b|\brewrite\b|\bquic\b|\bhttp3\b|ssl_session_tickets|ssl_session_ticket_key|\baio\b|\bssi\b|\bmap\b' \
  /www/server/nginx/conf /www/server/panel/vhost/nginx 2>/dev/null

Gunakan hasilnya sebagai daftar tinjauan, bukan sebagai bukti bahwa server dapat dieksploitasi. Kehadiran directive tidak selalu berarti jalur serangan terpenuhi; konfigurasi lengkap dan versi binary harus dievaluasi bersama.

6. Tutorial update Nginx di aaPanel — langkah demi langkah

1. Identifikasi sumber instalasi. Nginx aaPanel biasanya dikelola melalui App Store/Software panel, sedangkan instalasi lain mungkin berasal dari APT atau kompilasi manual. Jangan mencampur binary dari repositori berbeda.
2. Backup konfigurasi. Simpan nginx.conf, seluruh virtual host, konfigurasi stream jika dipakai, sertifikat/rujukan sertifikat, parameter build, dan daftar modul pihak ketiga. Backup harus memiliki permission terbatas.
3. Catat modul dan fitur. Periksa parameter nginx -V, penggunaan HTTP/3, SSI, AIO, session ticket, serta konfigurasi alias/rewrite.
4. Pilih jalur patch. Untuk stable gunakan Nginx 1.30.6 atau lebih baru. Untuk mainline gunakan 1.31.7 atau lebih baru; per 31 Oktober rilis mainline terbaru yang tercatat adalah 1.31.8.
5. Perbarui lewat pengelola yang sama. Jika Nginx dipasang dari aaPanel, gunakan App Store/Software → Nginx dan mekanisme upgrade panel. Jika dipasang melalui APT, periksa kandidat dengan apt-cache policy nginx lalu ikuti repositori/vendor yang digunakan.
6. Perhatikan modul tambahan. Modul pihak ketiga yang dibangun terhadap versi lama mungkin perlu dibangun ulang. Jangan mengganti binary jika modul dinamis tidak kompatibel.
7. Uji konfigurasi sebelum reload. Jalankan nginx -t. Jika gagal, jangan reload; perbaiki error atau pulihkan backup terlebih dahulu.
8. Reload melalui panel/service yang benar. Gunakan tombol Reload/Restart pada aaPanel atau mekanisme service yang memang mengelola binary Nginx tersebut. Jangan menebak nama service jika instalasi custom.
9. Verifikasi versi dan website. Jalankan kembali nginx -v, nginx -V, nginx -t, lalu periksa website, TLS, reverse proxy, upload, dan log error.

7. Mitigasi sementara jika patch belum bisa dipasang

Mitigasi ini hanya mengurangi permukaan serangan pada fitur tertentu. Jangan menganggapnya pengganti pembaruan Nginx.

• HTTP/3 (CVE-2026-95101): jika HTTP/3/QUIC memang aktif dan patch belum dapat dipasang, pertimbangkan menonaktifkan listener QUIC/HTTP3 sementara dan hanya melayani HTTP/2 atau HTTP/1.1. Uji dampak pada klien terlebih dahulu. Perubahan listener dilakukan pada konfigurasi server HTTPS; jangan menghapus konfigurasi SSL utama.
• TLS session ticket (CVE-2026-97629): pertimbangkan menonaktifkan session tickets sementara melalui directive ssl_session_tickets off; pada scope konfigurasi yang sesuai. Uji perilaku TLS dan pastikan perubahan tidak merusak arsitektur terminasi TLS.
• SSI + AIO (CVE-2026-97205): jika keduanya dipakai bersama dan aplikasi tidak memerlukannya sementara, nonaktifkan SSI atau asynchronous I/O pada lokasi terkait setelah menilai efek performa/fungsi. Jangan mematikan modul secara global tanpa memeriksa semua website.
• Alias/rewrite dan script evaluation: lakukan review konfigurasi yang menggabungkan directive tersebut. Tidak ada satu snippet generik yang aman untuk semua susunan virtual host; patch binary merupakan tindakan utama.

Setelah mitigasi konfigurasi, jalankan nginx -t sebelum reload. Simpan salinan konfigurasi awal agar perubahan dapat dibatalkan jika menimbulkan gangguan.

8. Simulasi pengujian aman di staging

Jangan mengirim request yang dirancang untuk merusak buffer atau menyalahgunakan HTTP/3 ke server publik. Untuk latihan administrator, cukup lakukan pemeriksaan konfigurasi dan alur web normal:

1. Salin konfigurasi Nginx ke staging dengan versi yang sudah dipatch. Jangan menyalin private key atau secret ke lingkungan yang tidak tepercaya.
2. Jalankan nginx -t dan pastikan semua konfigurasi valid.
3. Uji halaman HTTPS normal, redirect HTTP ke HTTPS, reverse proxy ke aplikasi, upload file normal, dan file statis.
4. Jika HTTP/3 digunakan, periksa negosiasi HTTP/3 dari klien yang mendukungnya; jika dimatikan sementara, pastikan HTTP/2/HTTP/1.1 tetap berjalan.
5. Jika website memakai SSI, AIO, alias/rewrite, atau TLS session tickets, uji fungsi terkait setelah patch dan pastikan tidak ada perubahan perilaku yang merusak aplikasi.
6. Periksa error log, status worker, dan waktu respons. Setelah tes staging lolos, terapkan perubahan ke produksi sesuai maintenance window.

Tes ini memverifikasi konfigurasi dan kompatibilitas layanan, bukan membuktikan adanya atau tidak adanya exploit. Status keamanan ditentukan oleh binary/paket yang telah menerima perbaikan resmi.

9. Verifikasi setelah update

1. Periksa kembali versi yang berjalan dan catatan patch dari aaPanel/vendor.
2. Pastikan worker Nginx telah reload/restart dan memakai binary terbaru.
3. Jalankan nginx -t untuk memastikan konfigurasi valid.
4. Uji setiap website: HTTP ke HTTPS redirect, sertifikat TLS, reverse proxy ke Laravel/Node, upload file, WebSocket jika dipakai, dan akses aset statis.
5. Jika HTTP/3 dinonaktifkan sementara, pastikan klien tetap dapat terhubung lewat HTTP/2 atau HTTP/1.1.
6. Pantau error log, status service, dan penggunaan CPU/RAM setelah reload.

10. Kesimpulan

Lima CVE Oktober 2026 memengaruhi area konfigurasi dan fitur Nginx yang berbeda. Administrator harus menginventarisasi sumber instalasi, memeriksa fitur yang digunakan, memperbarui binary, menguji konfigurasi, dan reload layanan. Untuk jalur stable gunakan setidaknya 1.30.6; untuk mainline setidaknya 1.31.7, atau versi lebih baru yang telah dirilis. Paket vendor yang mengandung backport perlu diverifikasi dari catatan rilisnya.

Referensi resmi

• Nginx — Security Advisories dan rentang versi CVE
• Nginx — News dan catatan rilis 14/21 Oktober 2026
• Nginx — unduhan resmi
• Nginx — dokumentasi core HTTP module

Diperiksa 31 Oktober 2026. Versi paket distro/panel mungkin membawa backport. Artikel ini merupakan panduan defensif, bukan panduan membuat exploit.