nginx 1.30.6 Stable con soporte para HTTP/3 ha sido añadido al repositorio de CodeIT. http2 y ngx_cache_purge están integrados, y OpenSSL está enlazado dinámicamente con el OpenSSL oficial 4.0.3 con soporte para QUIC. El módulo de compresión Brotli de Google y ngx_http_geoip2 se distribuyen como módulos dinámicos, en nginx-module-brotli y nginx-module-geoip2, ambos opcionales como el resto de los módulos nginx-module-*. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
Los demás módulos dinámicos se empaquetan por separado y son opcionales: nginx-module-lua con lua-resty-core y lua-resty-lrucache, nginx-module-acme para certificados ACMEv2 automáticos, nginx-module-njs, nginx-module-perl, nginx-module-xslt y nginx-module-image-filter. Cada uno incluye su propia línea load_module en /etc/nginx/modules-enabled, así que funciona en cuanto se instala y no hay que editar nginx.conf a mano. Lua y ACME se compilan para EL9, EL10 y Ubuntu; EL7 dispone de nginx-module-geoip en su lugar, y njs, Perl, XSLT e image-filter solo están disponibles en rpm.
La misma versión está en Docker Hub como codeitus/nginx: la imagen se construye sobre AlmaLinux 9 a partir de estos mismos paquetes y se publica para amd64 y arm64:
- la imagen más reciente, del pool que se haya publicado último: docker pull codeitus/nginx
- la imagen Stable más reciente: docker pull codeitus/nginx:stable
- esta versión exacta: docker pull codeitus/nginx:1.30.6
Para HTTP/3 hay que publicar también el puerto UDP, no solo los TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx
Cambios principales:
- Change: se ha reducido el nivel de registro de los errores SSL “invalid alert” y “record layer failure”, y el de “SSL alert number N” para cualquier número de alerta, de “crit” a “info”.
- Bugfix: podría ocurrir un fallo de segmentación en un proceso de trabajo o podrían aparecer en los registros alertas “request count is zero” si la línea de cabecera “X-Accel-Redirect” se había almacenado en caché y, después, se había entregado la respuesta almacenada en caché a un cliente.
- Bugfix: podría ocurrir un fallo de segmentación en un proceso de trabajo si se usó el módulo ngx_http_dav_module para gestionar los métodos COPY y MOVE en una ubicación con la directiva “alias”.
- Bugfix: podría ocurrir un fallo de segmentación al leer la configuración si se usó la directiva “geo” con el parámetro “ranges” y el archivo binario de base correspondiente estaba dañado.
- Bugfix: podría ocurrir un error use-after-free en un proceso de trabajo si se usó proxying con almacenamiento en búfer y se produjo un error al enviar la respuesta a un cliente HTTP/2.
- Bugfix: el proceso de trabajo podría no terminar o podrían aparecer en los registros alertas “accept4() failed (9: Bad file descriptor)” si el proceso de trabajo se quedó sin descriptores de archivo antes del cierre correcto (graceful shutdown).
- Bugfix: podría ocurrir un fallo de segmentación en un proceso de trabajo si se usó el método “select”.
- Bugfix: compatibilidad binaria con módulos de terceros que usan códigos de script; el fallo había aparecido en 1.30.4.
- Bugfix: en el módulo ngx_http_perl_module.
- Bugfix: en el control de flujo del módulo ngx_http_v2_module.
- Bugfix: los mensajes “[error] upstream sent frame for unknown stream” y “[crit] cache file … contains invalid header” podrían aparecer en los registros al enviar una respuesta HTTP/2 almacenada en caché en el módulo ngx_http_proxy_v2_module si se usó la directiva “proxy_cache_revalidate”.
- Bugfix: la fragmentación de IPv6 podría no desactivarse al usar QUIC en algunos sistemas operativos.
- Bugfix: en el módulo ngx_http_auth_basic_module en Solaris.
- Bugfixes en HTTP/3, ngx_http_image_filter_module, ngx_http_slice_module y ngx_http_memcached_module.
Vulnerabilidades corregidas:
- Security: podría ocurrir un desbordamiento de búfer en un proceso de trabajo al usar la directiva “alias” si el URI de la solicitud se modificó con la directiva “rewrite” y, después, se mapeó a una ruta de archivo (CVE-2026-15176).
- Security: podría ocurrir un desbordamiento de búfer en un proceso de trabajo al evaluar expresiones de cadena con variables, lo que afectó al cálculo del document root y al registro de solicitudes en los módulos http y stream (CVE-2026-93479).
- Security: al usar HTTP/3, parte de un marco desconocido podría tratarse como el cuerpo de la solicitud, lo que podría dar lugar a omitir el límite de “client_max_body_size” o a inyectar datos en la solicitud proxy (CVE-2026-95101).
- Security: al usar la rotación de claves de tickets de sesión TLS, una de las claves se dejó sin inicializar, lo que podría permitir forjar una sesión (CVE-2026-97629).
- Security: al usar E/S asíncrona de archivos (AIO), podría ocurrir un error use-after-free en algunas configuraciones si la página SSI tiene comandos “include virtual” (CVE-2026-97205).