NGINX Plus: HTTP/3-Sicherheitslücke CVE-2026-95101 in Proxy-Konfigurationen
NGINX hat eine Sicherheitskorrektur für den HTTP/3-Betrieb veröffentlicht. Die Schwachstelle CVE-2026-95101 kann bei bestimmten Proxy-Konfigurationen dafür sorgen, dass nicht angemeldete Angreifer Daten in weitergeleitete Anfragen einschleusen. Der Hersteller dokumentiert die Behebung in NGINX Plus PLS.37.0.7.1 LTS, veröffentlicht am 14. Oktober 2026.
Welche Technik betroffen ist
NGINX steht bei vielen Websites als Webserver, Loadbalancer oder Reverse Proxy vor einer Anwendung. HTTP/3 nutzt QUIC als Transportprotokoll und ist nicht einfach nur eine neue Versionsnummer der klassischen HTTP/1.1-Verbindung. Reverse Proxies übersetzen und vermitteln Anfragen zwischen Client und Backend. Fehler in dieser Verarbeitung können deshalb Sicherheitsgrenzen zwischen außen und innen verwischen.
Nach Herstellerangaben liegt das Problem im Modul ngx_http_v3_module bei aktiviertem HTTP/3, wenn die Direktive proxy_request_buffering eingesetzt wird. Unter diesen Bedingungen kann ein nicht authentifizierter Angreifer möglicherweise zusätzliche Daten in eine proxied Request einbringen. Wie stark eine konkrete Anwendung dadurch gefährdet ist, hängt von der Interpretation dieser Daten im Backend ab.
Nicht jede NGINX-Installation ist verwundbar
Die Dokumentation beschreibt ausdrücklich eine konfigurationsabhängige Schwachstelle in NGINX Plus. Deshalb ist die richtige Frage nicht bloß: „Läuft NGINX auf dem Server?“ Administratoren müssen zusätzlich prüfen, ob HTTP/3 im betroffenen Modul aktiviert ist und welche Proxy-Einstellungen verwendet werden.
Die im Advisory genannten Versionen gelten für den jeweiligen NGINX-Plus-Release-Zweig. Andere Installationsarten, Distributionen oder von Anbietern gepatchte Pakete müssen gegen die dort geltenden Security-Bulletins abgeglichen werden. Ein Versionsstring allein ist keine vollständige Sicherheitsbewertung.
Was Administratoren jetzt tun sollten
- Bestandsaufnahme: Feststellen, ob NGINX Plus verwendet wird und ob HTTP/3 für betroffene virtuelle Hosts aktiviert ist.
- Konfiguration kontrollieren: Besonders Proxy-Strecken mit
proxy_request_bufferingidentifizieren. - Security-Release einplanen: Die vom Hersteller genannte korrigierte Version beziehungsweise die entsprechende unterstützte Patchlinie installieren.
- Backend prüfen: Bei verdächtigen Anfragen Protokolle der Proxy- und Zielanwendung korrelieren; bloße NGINX-Access-Logs sind nicht immer die gesamte Wahrheit.
Ein vollständiges Abschalten des Webservers ist keine pauschale Empfehlung. Sinnvoller ist eine gezielte Bewertung anhand der aktiven Konfiguration und des verfügbaren Herstellerupdates.
Warum solche Fehler leicht übersehen werden
HTTP/3 wird häufig zur Leistungsverbesserung aktiviert, während Administratoren sich auf Anwendungscode und Zertifikate konzentrieren. Gerade bei Reverse Proxies ist die sichere Behandlung von Anfragen jedoch elementar, weil sie die Grenze zwischen öffentlichen Clients und internen Diensten definieren. Ein zusätzlicher Sicherheitscheck nach Änderungen an HTTP/3- oder Proxy-Einstellungen ist deshalb gut investierte Zeit.
Quelle: Offizielle NGINX Plus Release Notes, 14. Oktober 2026.
