--- title: "Update nginx 1.30.6 dan 1.31.7, Lima Celah Ditambal" description: "nginx 1.30.6 dan 1.31.7 menambal lima celah, dari buffer overflow alias sampai HTTP/3. Ini cara cek versi, konfigurasi berisiko, dan langkah update." url: "https://nivelva.com/insight/nginx-1-30-6-lima-celah" category: "Server \u0026 Infrastruktur" tags: ["nginx","update nginx","cve","http3","web server"] author: "Lucas Tan" published: "2026-11-12T16:24:00+07:00" updated: "2026-11-12T16:24:00+07:00" language: "id" publisher: "Nivelva (https://nivelva.com)" --- # Update nginx 1.30.6 dan 1.31.7, Lima Celah Ditambal > **Jawaban singkat:** Pada 14 Oktober 2026 nginx merilis 1.30.6 (stable) dan 1.31.7 (mainline) yang menambal lima celah, termasuk buffer overflow pada alias dengan rewrite dan injeksi body di HTTP/3. Semua versi sebelumnya perlu di-update, terutama yang memakai alias, HTTP/3, SSI dengan AIO, atau session ticket TLS. Kalau server kamu menjalankan nginx versi di bawah 1.30.6 (cabang stable) atau 1.31.7 (cabang mainline), saatnya update. Kedua versi itu rilis 14 Oktober 2026 dan menambal lima celah sekaligus. Kenapa penting? Dua di antaranya bisa menyentuh versi nginx yang sangat lama, sampai 0.1.29 dan 0.8.11. Jadi server yang jarang disentuh bertahun-tahun pun belum tentu aman hanya karena "tidak pernah ada masalah". ## Celah apa saja yang ditambal? Daftar ini diambil dari halaman advisory dan catatan perubahan resmi nginx. nginx sendiri menilai kelimanya berderajat Medium. Skor CVSS 3.1 di bawah berasal dari record CVE, seperti dirangkum webhosting.today. | CVE | Masalah | Kapan terpicu | CVSS 3.1 | Versi terdampak | |:--|:--|:--|:--|:--| | CVE-2026-15176 | Buffer overflow | `alias` yang URI-nya diubah `rewrite` lalu dipetakan ke file | 8,1 | 0.1.29 sampai 1.31.6 | | CVE-2026-93479 | Buffer overflow | Evaluasi ekspresi string dengan variabel, misalnya di `root` atau format log | 8,1 | 1.30.0 sampai 1.30.5, 1.31.2 sampai 1.31.6 | | CVE-2026-95101 | Injeksi body request | HTTP/3 aktif | 5,3 | 1.25.0 sampai 1.31.6 | | CVE-2026-97629 | Pemalsuan sesi TLS | Rotasi kunci session ticket otomatis | 6,5 | 1.23.2 sampai 1.31.6 | | CVE-2026-97205 | Use-after-free | AIO aktif dan halaman SSI memakai `include virtual` | 8,1 | 0.8.11 sampai 1.31.6 | Pada hari yang sama dirilis njs 1.0.2, modul JavaScript nginx, yang menambal dua celah terkait XML: CVE-2026-101025 (memori habis saat mengurai XML rusak) dan CVE-2026-101019 (nilai atribut XML tidak konsisten yang memengaruhi validasi XML bertanda tangan). Seminggu kemudian, 21 Oktober, mainline 1.31.8 rilis tanpa perbaikan keamanan tambahan. ## Apakah server saya terdampak? Jawabannya bergantung pada dua hal: versi nginx dan isi konfigurasinya. Semua celah ini hanya terpicu pada fitur tertentu. Cek berurutan: - **Versi.** Jalankan `nginx -v`. Versi 1.30.6 ke atas atau 1.31.7 ke atas sudah aman dari kelima celah. - **Paket distro.** Ubuntu dan Debian sering menambal tanpa menaikkan nomor versi utama. Cek dengan `apt changelog nginx | grep CVE-2026-15176`. Kalau CVE muncul di changelog, perbaikannya sudah masuk. - **Modul HTTP/3.** Jalankan `nginx -V 2>&1 | grep -o http_v3_module`. Kalau tidak ada hasil, celah HTTP/3 tidak berlaku. Menurut webhosting.today, paket ea-nginx bawaan cPanel tidak membawa modul ini. - **Fitur yang dipakai.** Tampilkan konfigurasi lengkap lalu cari direktif yang berisiko: ```bash sudo nginx -T 2>/dev/null | grep -nE 'alias|rewrite|quic|ssl_session_cache|ssl_session_ticket_key|ssi on|aio' ``` Hasilnya memberi gambaran seberapa besar risikonya. Misalnya, `ssl_session_cache shared` tanpa `ssl_session_ticket_key` berarti nginx memutar kunci session ticket secara otomatis, yaitu kondisi celah CVE-2026-97629. ## Langkah update nginx 1. **Backup konfigurasi.** Salin folder `/etc/nginx` ke tempat lain, misalnya `sudo cp -a /etc/nginx /root/nginx-backup`. 2. **Update paket.** Di Ubuntu atau Debian dengan repo nginx.org atau repo distro: `sudo apt update && sudo apt install --only-upgrade nginx`. Di AlmaLinux atau Rocky: `sudo dnf upgrade nginx`. 3. **Uji konfigurasi.** Jalankan `sudo nginx -t` sebelum me-restart apa pun. 4. **Restart, bukan reload.** `sudo systemctl restart nginx`. Perintah reload hanya membaca ulang konfigurasi dengan binary lama, jadi binary yang sudah ditambal belum tentu dipakai. 5. **Verifikasi.** Jalankan lagi `nginx -v` dan buka beberapa situs untuk memastikan semuanya normal. Kalau kamu memasang nginx sendiri bersama PHP dan database, alur lengkapnya ada di [cara pasang Nginx, MariaDB, dan PHP di Ubuntu 24.04](https://nivelva.com/insight/cara-pasang-nginx-mariadb-php-ubuntu-24-04). > **Belum bisa update hari ini?:** > > Kalau update belum bisa segera dilakukan, langkah berikut bukan saran resmi nginx, tetapi mengurangi permukaan serangan berdasarkan prasyarat tiap celah: matikan HTTP/3 (hapus `quic` dari `listen`), set `ssl_session_tickets off;`, dan nonaktifkan `aio` di location yang melayani halaman SSI. Ini hanya penahan sementara. Update tetap wajib. ## Bagaimana memilih stable atau mainline? Cabang stable (1.30.x) hanya menerima perbaikan bug dan keamanan, cocok untuk server produksi yang mengutamakan ketenangan. Cabang mainline (1.31.x) membawa fitur baru lebih cepat. Contohnya 1.31.7 menambahkan dukungan database GeoIP format MMDB dan verifikasi sertifikat backend berdasarkan alamat IP, serta memakai skema prioritas HTTP/2 dari RFC 9218. Perubahan perilaku seperti itu bisa memengaruhi konfigurasi yang sudah berjalan. Bila kamu tidak butuh fitur barunya, tetaplah di stable dan cukup naik ke 1.30.6. ## Kenapa nginx sering update tahun ini? Halaman advisory nginx.org mencatat 26 celah nginx sepanjang 2026, di luar njs, menurut hitungan webhosting.today. Angka ini jauh lebih banyak dibanding tahun-tahun sebelumnya. Bagi pengelola server, polanya jelas: update nginx tidak bisa lagi ditunda sampai "ada waktu". Jadwalkan pengecekan rutin, misalnya tiap minggu, dan baca catatan rilis sebelum update. Skor CVSS yang tinggi belum tentu berarti server kamu terancam kalau fiturnya tidak dipakai. Cara menimbangnya dibahas di [cara membaca skor CVSS](https://nivelva.com/insight/cara-membaca-skor-cvss). Setelah update, sempatkan juga meninjau konfigurasi dengan panduan [hardening Nginx untuk server produksi](https://nivelva.com/insight/hardening-nginx-server-produksi). ## Pertanyaan yang sering diajukan ### Apakah reload cukup setelah paket nginx di-update? Tidak selalu. Reload hanya memuat ulang konfigurasi oleh proses master yang sudah berjalan. Untuk memastikan binary baru dipakai, lakukan restart atau upgrade binary dengan sinyal USR2 sesuai dokumentasi nginx. ### Saya tidak memakai HTTP/3, SSI, dan alias. Masih perlu update? Tetap disarankan. CVE-2026-97629 bisa kena bila kamu memakai `ssl_session_cache shared` tanpa kunci session ticket manual, yang merupakan konfigurasi umum. Update juga membawa perbaikan bug lain. ### Apakah ada laporan celah ini sudah dieksploitasi? Per 12 November 2026, sumber yang dirujuk artikel ini tidak melaporkan eksploitasi aktif. Itu bukan alasan menunda update, karena detail teknis celah sudah publik. ## Sumber - - - - - --- Diterbitkan oleh Nivelva Insight (https://nivelva.com/insight/). Artikel ini: https://nivelva.com/insight/nginx-1-30-6-lima-celah Kontak Nivelva: WhatsApp https://wa.me/6285111245007, email hello@nivelva.com