В NGINX нашли критическую уязвимость CVE-2026-15176, жившую с 2005 года

F5 раскрыла CVE-2026-15176 в NGINX с рейтингом 9.2 Critical по CVSS v4.0: переполнение буфера при сочетании alias и rewrite с чтением $request_filename. Уязвимы версии с 0.1.29 по 1.31.6, исправления вышли в 1.30.6 и 1.31.7.

• Уязвимость затрагивает все сборки NGINX с мая 2005 года, диапазон 0.1.29–1.31.6
• Переполнение возникает, когда alias и rewrite в одном location читают $request_filename
• Последствия — падение worker-процесса и возможное выполнение кода
• Исправлено в 1.30.6 и 1.31.7; обходной путь — отказаться от alias рядом с rewrite