Une faille dans nginx, le serveur qui fait tourner un tiers du web, découverte après 18 ans

Nginx est l'un des piliers invisibles d'Internet : il sert environ un tiers des sites web dans le monde, des blogs personnels aux plateformes professionnelles. Pourtant, une faille critique, présente depuis 18 ans, vient d'être découverte par la société DepthFirst AI. Baptisée CVE-2026-46301, cette vulnérabilité permet à un attaquant d'exécuter du code à distance sur un serveur, sans authentification, simplement en envoyant une requête HTTP spécialement conçue.

Pourquoi est-ce si grave ? Parce que nginx est souvent utilisé comme reverse proxy ou load balancer, c'est-à-dire qu'il gère le trafic entrant avant de le rediriger vers d'autres services. Une compromission de nginx peut donc donner accès à des données sensibles, voire permettre de prendre le contrôle de l'ensemble de l'infrastructure. Pire encore, comme la faille existe depuis des années, des milliers de serveurs pourraient déjà être compromis sans que leurs administrateurs ne le sachent.

Ce que les hébergeurs et les utilisateurs peuvent faire :

• Mettez à jour nginx immédiatement : la version 1.27.1 corrige la faille. Si vous utilisez un hébergeur européen (comme OVH, Scaleway ou Infomaniak), vérifiez qu'il a bien appliqué le correctif.
• Vérifiez vos logs : recherchez des requêtes suspectes, notamment celles contenant des en-têtes HTTP inhabituels.
• Isolez vos services critiques : si possible, segmentez votre infrastructure pour limiter l'impact d'une éventuelle compromission.
• Privilégiez les solutions européennes : des alternatives comme Caddy (développé en France) ou Traefik (hébergé en Europe) offrent des fonctionnalités similaires à nginx, avec une approche plus transparente sur la sécurité.

Cette découverte rappelle une leçon importante : la sécurité n'est jamais acquise, même pour des logiciels aussi matures que nginx. En Europe, des initiatives comme le Cybersecurity Act et les audits réguliers des infrastructures critiques aident à limiter ces risques. Pour les particuliers et les petites entreprises, des outils comme Colistor (colistor.com) permettent de gérer ses données en toute souveraineté, sans dépendre des géants américains.