USN-8955-2: nginx, patch estesa a Ubuntu 20.04, 18.04, 16.04 e 14.04

Ubuntu ha pubblicato il 5 novembre 2026 l'avviso USN-8955-2, che estende alle versioni più vecchie ancora in supporto esteso le correzioni nginx già uscite il 26 ottobre con USN-8955-1. Chi tiene in produzione server web o reverse proxy su Ubuntu 20.04, 18.04, 16.04 o 14.04 LTS deve aggiornare il pacchetto nginx.

Cosa corregge

USN-8955-1 ha corretto vulnerabilità in nginx su Ubuntu 26.10, Ubuntu 26.04 LTS, Ubuntu 24.04 LTS e Ubuntu 22.04 LTS. Questo aggiornamento porta la stessa correzione su Ubuntu 20.04 LTS, Ubuntu 18.04 LTS, Ubuntu 16.04 LTS e Ubuntu 14.04 LTS, aggiungendo in più la patch per CVE-2026-42533 su queste release.

La falla più rilevante resta CVE-2026-42533: nginx gestiva in modo scorretto certe direttive map che usano corrispondenze regex e variabili di cattura, e un attaccante remoto poteva usare il problema per mandare in crash nginx (denial of service) o eventualmente eseguire codice arbitrario. Non è una novità del 2026 recente: il bug a monte era già stato risolto in nginx 1.30.4 e 1.31.3, rilasciate il 15 luglio 2026. Per questa vulnerabilità esiste anche un precedente da tenere a mente: un PoC/exploit pubblico è stato rilasciato il 27 luglio 2026, prima della data del 5 agosto inizialmente annunciata, segno che su configurazioni esposte non conviene rimandare l'update.

L'avviso riporta anche le altre falle chiuse dal bollettino originale: alias/rewrite (CVE-2026-15176), map con regex (CVE-2026-93479), buffering HTTP/3 (CVE-2026-95101, limitata a 26.04 e 26.10), SSI con I/O asincrono (CVE-2026-97205) e il riuso di chiavi SSL session ticket senza rotazione esplicita (CVE-2026-97629, su 24.04, 26.04 e 26.10).

Versioni corrette e chi può installarle

Release	Pacchetto nginx	Accesso alla patch
20.04 LTS (focal)	1.18.0-0ubuntu1.7+esm4	Serve Ubuntu Pro
18.04 LTS (bionic)	1.14.0-0ubuntu1.11+esm5	Serve Ubuntu Pro
16.04 LTS (xenial)	1.10.3-0ubuntu0.16.04.5+esm10	Ubuntu Pro + Legacy Support add-on
14.04 LTS (trusty)	1.4.6-1ubuntu3.9+esm9	Ubuntu Pro + Legacy Support add-on

Su tutte e quattro le release l'aggiornamento richiede un abbonamento Ubuntu Pro attivo; su 16.04 e 14.04, ormai fuori dal ciclo standard, serve in più l'add-on Legacy Support. Chi gestisce ancora macchine su queste versioni e non ha Pro attivo resta esposto: conviene pianificare la migrazione a una release supportata o attivare la copertura prima di esporre configurazioni che usano map con regex.