Nginx 1.30.6에서 수정된 보안 취약점 5개를 정리했습니다. 5개 모두 보통(medium)이며, 등급은 NGINX 공식 보안 공지의 분류입니다. CVSS 점수와는 구분됩니다.
1.30.6은 2026년 10월 14일 공개된 안정(stable) 계열 업데이트입니다. alias·rewrite, 변수 표현식, HTTP/3, TLS 세션 티켓, 비동기 파일 I/O(AIO) 등 사용 중인 기능과 설정에 따라 실제 노출 여부가 달라집니다. 아래 영향 버전은 공식 공지의 전체 범위이며 양 끝을 포함합니다. 1.30 계열에서는 1.30.6 이상, 1.31 계열에서는 1.31.7 이상에서 수정되었습니다.
CVE별 영향과 해결 방법
| CVE 코드 | 내용 및 발생 조건 | 해결 방법 | 중요도(등급) | 영향받는 버전 |
|---|---|---|---|---|
| CVE-2026-15176 | rewrite로 변경된 요청 URI를 alias로 파일 경로에 매핑할 때 워커 프로세스에서 버퍼 오버플로가 발생할 수 있음. | 1.30.6 이상으로 업데이트. alias와 rewrite를 함께 사용하는 경로 점검. | 보통(medium) | 0.1.29~1.31.6 |
| CVE-2026-93479 | 변수를 포함한 문자열 표현식 평가 중 버퍼 오버플로 가능. 문서 루트 계산과 http·stream 모듈의 요청 로깅에 영향. | 1.30.6 이상으로 업데이트. 변수 기반 문서 루트와 로그 설정 점검. | 보통(medium) | 1.31.2~1.31.6 및 1.30.0~1.30.5 |
| CVE-2026-95101 | HTTP/3의 알 수 없는 프레임 일부가 요청 본문으로 처리되어 client_max_body_size 제한 우회 또는 프록시 요청에 데이터 주입 가능. | 1.30.6 이상으로 업데이트. HTTP/3 사용 여부와 본문 크기 제한 동작 점검. | 보통(medium) | 1.25.0~1.31.6 |
| CVE-2026-97629 | TLS 세션 티켓 키 교체 과정에서 키 하나가 초기화되지 않아 세션 위조가 가능할 수 있음. | 1.30.6 이상으로 업데이트. TLS 세션 티켓과 키 교체 구성 점검. | 보통(medium) | 1.23.2~1.31.6 |
| CVE-2026-97205 | AIO 사용 환경의 특정 설정에서 SSI 페이지에 include virtual 명령이 있으면 해제 후 사용(use-after-free) 발생 가능. | 1.30.6 이상으로 업데이트. AIO와 SSI의 동시 사용 여부 점검. | 보통(medium) | 0.8.11~1.31.6 |
운영 서버 적용 전 점검
설정과 실행 파일을 백업하고 nginx -v로 실행 버전, nginx -V로 빌드 옵션을 확인합니다. 테스트 환경에서 수정 버전을 적용한 뒤 nginx -t로 설정을 검사하고, 정적 파일 경로·프록시 요청·HTTP/3·TLS 세션 재개·SSI 처리를 사용 환경에 맞게 검증하세요. 운영 적용 후에는 새 바이너리로 워커가 실행되는지와 오류 로그를 확인합니다. 실행 파일을 교체한 경우 설정 reload만으로 새 바이너리가 실행되는 것은 아니므로 설치 방식에 맞는 재시작 또는 공식 바이너리 업그레이드 절차를 사용하세요.
표의 설정 점검은 발생 조건에 따른 운영상 제안이며 패치를 대신하지 않습니다. 배포판 패키지나 제품에 내장된 Nginx를 사용한다면 공급업체의 보안 패치와 백포트 적용 여부를 확인하세요.
출처: NGINX 공식 보안 공지, NGINX 1.30 공식 변경 내역, NGINX 공식 프로세스 제어 및 바이너리 업그레이드 문서.