Veille sécuritéBackend & données
P3Élevée
Un attaquant authentifié disposant d’un accès à un compte de service peut usurper la connexion gRPC authentifiée de NGINX Agent. Il peut ainsi lire les clés privées TLS de déploiements Gateway situés dans un autre espace de noms.
Nginx
IdentifiantCVE-2026-96615
GravitéÉlevée
Exploitationnon connue / non déterminée
CorrectifNon précisé dans les sources
Source : NVD — CVE-2026-96615
Analyse technique
La description NVD limite le scénario aux configurations Gateway CRD avec une connexion gRPC authentifiée vers NGINX Agent.
Impact, versions et correctif
Événement datéFiche NVD publiée le 2026-10-14 à 17:17:28.033+02:00, dans la période demandée.
ImpactDivulgation possible de clés privées TLS d’un autre espace de noms.
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.1
Publication2026-10-14T17:17:28.033+02:00
Mise à jour2026-10-14T16:04:11.750Z
Détection / vérification
Examiner les déploiements NGINX Gateway Fabric utilisant Gateway CRD et les connexions gRPC authentifiées entre NGINX Gateway Fabric et NGINX Agent.
Action recommandée
Consulter l’avis du mainteneur pour déterminer la version corrigée; restreindre les accès aux comptes de service concernés.
Sources
Priorisation DFS : P3 · 1 source(s).