nginx 1.31.7 Mainline con soporte para HTTP/3 ha sido añadido al repositorio de CodeIT. http2 y ngx_cache_purge están integrados, y OpenSSL está enlazado dinámicamente con el OpenSSL oficial 4.0.3 con soporte para QUIC. El módulo de compresión Brotli de Google y ngx_http_geoip2 se distribuyen como módulos dinámicos, en nginx-module-brotli y nginx-module-geoip2, ambos opcionales como el resto de los módulos nginx-module-*. Los paquetes se han compilado para RHEL, CentOS, AlmaLinux, Rocky Linux y Oracle Linux 7, 8, 9 y 10, y para Ubuntu 22.04 y 24.04.
Esta actualización corrige vulnerabilidades de seguridad. Se recomienda actualizar.
Los demás módulos dinámicos se empaquetan por separado y son opcionales: nginx-module-lua con lua-resty-core y lua-resty-lrucache, nginx-module-acme para certificados ACMEv2 automáticos, nginx-module-njs, nginx-module-perl, nginx-module-xslt y nginx-module-image-filter. Cada uno incluye su propia línea load_module en /etc/nginx/modules-enabled, así que funciona en cuanto se instala y no hay que editar nginx.conf a mano. Lua y ACME se compilan para EL9, EL10 y Ubuntu; EL7 dispone de nginx-module-geoip en su lugar, y njs, Perl, XSLT e image-filter solo están disponibles en rpm.
La misma versión está en Docker Hub como codeitus/nginx: la imagen se construye sobre AlmaLinux 9 a partir de estos mismos paquetes y se publica para amd64 y arm64:
- la imagen más reciente, del pool que se haya publicado último: docker pull codeitus/nginx
- la imagen Mainline más reciente: docker pull codeitus/nginx:mainline
- esta versión exacta: docker pull codeitus/nginx:1.31.7
Para HTTP/3 hay que publicar también el puerto UDP, no solo los TCP: docker run -d -p 80:80 -p 443:443 -p 443:443/udp codeitus/nginx
Cambios principales:
- Feature: los módulos ngx_http_geoip_module y ngx_stream_geoip_module ahora admiten bases de datos en el formato MaxMind DB (MMDB).
- Feature: ahora se pueden verificar los certificados SSL del back end por dirección IP.
- Feature: ahora QUIC admite la reconfiguración y la actualización binaria al usar la directiva “quic_bpf”.
- Change: el módulo ngx_http_v2_module ahora usa el esquema de priorización de RFC 9218 y se ignoran las señales de prioridad de RFC 7540.
- Bugfix: podría producirse una falta de segmentación en un proceso de trabajo o podrían aparecer alertas en los registros con el mensaje “request count is zero” si la línea del encabezado “X-Accel-Redirect” se había almacenado en caché y, después, se servía la respuesta almacenada en caché a un cliente.
- Bugfix: podría producirse una falta de segmentación en un proceso de trabajo si se usaba el ngx_http_dav_module para gestionar los métodos COPY y MOVE en una ubicación con la directiva “alias”.
- Bugfix: las conexiones QUIC podrían cerrarse con el mensaje “quic flood detected” en los registros si la directiva “http3_stream_buffer_size” se establecía en un valor pequeño; el problema había aparecido en 1.27.5.
- Bugfix: cerrar una conexión SSL sin close_notify se trataba como una finalización correcta, incluso cuando la conexión se reiniciaba; ahora aparecen errores “SSL_read() failed” en los registros en este caso.
- Bugfix: podrían aparecer mensajes “[crit] SSL_write() failed” en los registros cuando se producía un error al leer desde una conexión SSL.
Vulnerabilidades corregidas:
- Security: podría producirse un desbordamiento de búfer en un proceso de trabajo al usar la directiva “alias” si la URI de la solicitud se cambiaba mediante la directiva “rewrite” y, después, se asignaba a una ruta de archivo (CVE-2026-15176).
- Security: podría producirse un desbordamiento de búfer en un proceso de trabajo al evaluar expresiones de cadena con variables, lo que afectó al cálculo del directorio raíz y al registro de solicitudes en los módulos http y stream (CVE-2026-93479).
- Security: al usar HTTP/3, una parte de un marco desconocido podría tratarse como el cuerpo de la solicitud, lo que podría provocar eludir el límite “client_max_body_size” o inyectar datos en la solicitud a través del proxy (CVE-2026-95101).
- Security: al usar la rotación de claves de los tickets de sesión TLS, una de las claves se dejó sin inicializar, lo que podría permitir forjar una sesión (CVE-2026-97629).
- Security: al usar E/S de archivos asíncrona (AIO), podría producirse un use-after-free en ciertas configuraciones si la página SSI tiene comandos “include virtual” (CVE-2026-97205).