Update nginx 1.30.6 dan 1.31.7, Lima Celah Ditambal

Kalau server kamu menjalankan nginx versi di bawah 1.30.6 (cabang stable) atau 1.31.7 (cabang mainline), saatnya update. Kedua versi itu rilis 14 Oktober 2026 dan menambal lima celah sekaligus.

Kenapa penting? Dua di antaranya bisa menyentuh versi nginx yang sangat lama, sampai 0.1.29 dan 0.8.11. Jadi server yang jarang disentuh bertahun-tahun pun belum tentu aman hanya karena "tidak pernah ada masalah".

Celah apa saja yang ditambal?

Daftar ini diambil dari halaman advisory dan catatan perubahan resmi nginx. nginx sendiri menilai kelimanya berderajat Medium. Skor CVSS 3.1 di bawah berasal dari record CVE, seperti dirangkum webhosting.today.

Pada hari yang sama dirilis njs 1.0.2, modul JavaScript nginx, yang menambal dua celah terkait XML: CVE-2026-101025 (memori habis saat mengurai XML rusak) dan CVE-2026-101019 (nilai atribut XML tidak konsisten yang memengaruhi validasi XML bertanda tangan). Seminggu kemudian, 21 Oktober, mainline 1.31.8 rilis tanpa perbaikan keamanan tambahan.

Apakah server saya terdampak?

Jawabannya bergantung pada dua hal: versi nginx dan isi konfigurasinya. Semua celah ini hanya terpicu pada fitur tertentu. Cek berurutan:

• Versi. Jalankan nginx -v. Versi 1.30.6 ke atas atau 1.31.7 ke atas sudah aman dari kelima celah.
• Paket distro. Ubuntu dan Debian sering menambal tanpa menaikkan nomor versi utama. Cek dengan apt changelog nginx | grep CVE-2026-15176. Kalau CVE muncul di changelog, perbaikannya sudah masuk.
• Modul HTTP/3. Jalankan nginx -V 2>&1 | grep -o http_v3_module. Kalau tidak ada hasil, celah HTTP/3 tidak berlaku. Menurut webhosting.today, paket ea-nginx bawaan cPanel tidak membawa modul ini.
• Fitur yang dipakai. Tampilkan konfigurasi lengkap lalu cari direktif yang berisiko:

sudo nginx -T 2>/dev/null | grep -nE 'alias|rewrite|quic|ssl_session_cache|ssl_session_ticket_key|ssi on|aio'

Hasilnya memberi gambaran seberapa besar risikonya. Misalnya, ssl_session_cache shared tanpa ssl_session_ticket_key berarti nginx memutar kunci session ticket secara otomatis, yaitu kondisi celah CVE-2026-97629.

Langkah update nginx

1. Backup konfigurasi. Salin folder /etc/nginx ke tempat lain, misalnya sudo cp -a /etc/nginx /root/nginx-backup.
2. Update paket. Di Ubuntu atau Debian dengan repo nginx.org atau repo distro: sudo apt update && sudo apt install --only-upgrade nginx. Di AlmaLinux atau Rocky: sudo dnf upgrade nginx.
3. Uji konfigurasi. Jalankan sudo nginx -t sebelum me-restart apa pun.
4. Restart, bukan reload. sudo systemctl restart nginx. Perintah reload hanya membaca ulang konfigurasi dengan binary lama, jadi binary yang sudah ditambal belum tentu dipakai.
5. Verifikasi. Jalankan lagi nginx -v dan buka beberapa situs untuk memastikan semuanya normal.

Kalau kamu memasang nginx sendiri bersama PHP dan database, alur lengkapnya ada di cara pasang Nginx, MariaDB, dan PHP di Ubuntu 24.04.

Bagaimana memilih stable atau mainline?

Cabang stable (1.30.x) hanya menerima perbaikan bug dan keamanan, cocok untuk server produksi yang mengutamakan ketenangan. Cabang mainline (1.31.x) membawa fitur baru lebih cepat. Contohnya 1.31.7 menambahkan dukungan database GeoIP format MMDB dan verifikasi sertifikat backend berdasarkan alamat IP, serta memakai skema prioritas HTTP/2 dari RFC 9218.

Perubahan perilaku seperti itu bisa memengaruhi konfigurasi yang sudah berjalan. Bila kamu tidak butuh fitur barunya, tetaplah di stable dan cukup naik ke 1.30.6.

Kenapa nginx sering update tahun ini?

Halaman advisory nginx.org mencatat 26 celah nginx sepanjang 2026, di luar njs, menurut hitungan webhosting.today. Angka ini jauh lebih banyak dibanding tahun-tahun sebelumnya. Bagi pengelola server, polanya jelas: update nginx tidak bisa lagi ditunda sampai "ada waktu".

Jadwalkan pengecekan rutin, misalnya tiap minggu, dan baca catatan rilis sebelum update. Skor CVSS yang tinggi belum tentu berarti server kamu terancam kalau fiturnya tidak dipakai. Cara menimbangnya dibahas di cara membaca skor CVSS. Setelah update, sempatkan juga meninjau konfigurasi dengan panduan hardening Nginx untuk server produksi.