nginxのセキュリティアドバイザリは、1.30.6以降と1.31.7以降を修正版とする欠陥を5件掲げている。深刻度はいずれもmedium。安定版1.30.6は10月14日に出たリリースだ。
範囲が最も広いのは、aliasとrewriteを併用したときのバッファオーバーフロー（CVE-2026-15176）で、0.1.29から1.31.6までが対象になる。変数を含む文字列式の評価におけるバッファオーバーフロー（CVE-2026-93479）は、1.30.0〜1.30.5と1.31.2〜1.31.6。HTTP/3のリクエストボディ注入（CVE-2026-95101）は1.25.0から1.31.6。TLSのセッションチケットを使うときのセッション偽造（CVE-2026-97629）は1.23.2から1.31.6。非同期ファイルI/O（AIO）利用時のuse-after-free（CVE-2026-97205）は0.8.11から1.31.6。
いずれも、特定の機能や設定を使っているときに関係する欠陥だ。HTTP/3、aliasとrewriteの併用、セッションチケット、AIOのいずれかを本番で有効にしているなら、そのプロセスは更新対象になる。ディストリビューションのパッケージが1.30.6または1.31.7相当まで追随しているかを、表示されているバージョンだけで済ませず確認する。