Выпуск nginx 1.31.7

14 октября 2026 года состоялся выпуск высокопроизводительного HTTP‑сервера и многопротокольного прокси‑сервера nginx 1.31.7. Исходный код проекта nginx написан на языке C и распространяется под лицензией BSD. Проект nginx 1.28.0 вышел в апреле 2025 года. Выпуск nginx 1.29 случился в июне 2025 года. Версия nginx 1.30 вышла в апреле 2026 года. Выпуск nginx 1.31 произошёл в мае 2026 года. В дальнейшем на базе основной ветки 1.31.x будет сформирована стабильная ветка 1.32.

Основные изменения и доработки в nginx 1.31.7:

• в модули ngx_http_geoip_module и ngx_stream_geoip_module добавлена поддержка БД в формате MaxMind (MMDB);

• реализована возможность проверки по IP‑адресу SSL‑сертификатов, используемых в бэкенде;

• реализованы возможности переконфигурации и обновления исполняемого файла при использовании в настройках директивы quic_bpf;

• в модуле ngx_http_v2_module реализована схема расстановки приоритетов, соответствующая RFC 9218;

• патч против уязвимостей:

  • CVE-2026-15176 — переполнение буфера, проявляющееся при использовании директивы alias в конфигурациях, меняющих URI запроса через директиву rewrite с дальнейшим перенаправлением на файл;

  • CVE-2026-93479 — переполнение буфера, возникающее при выполнении строковых выражений с переменными и проявляющееся при вычислении пути к корневому каталогу и при логировании запросов в модулях http и stream;

  • CVE-2026-95101 — обход ограничения client_max_body_size и подстановка сторонних данных в проксируемый запрос через передачу некорректных фреймов в HTTP/3, часть содержимого которых могла быть обработана как тело запроса;

  • CVE-2026-97629 — подделка TLS‑сеансов из‑за оставления одного из сессионных ключей неинициализированным во время ротации;

  • CVE-2026-97205 — обращение к памяти после её освобождения (use‑after‑free), возникающее при использовании на SSI‑страницах команд include virtual в сочетании с применением асинхронного ввода/вывода (AIO).