تاریخ مقاله تاریخی: 2026-10-14 (تاریخ افشا و انتشار امنیتی). منابع بررسی شد و اطلاعات از طریق 2026-10-27 تکمیل شد.

رویداد و تاثیر

NGINX منتشر شد Stable 1.30.6 و Mainline 1.31.7 در 2026-10-14 ، رفع پنج آسیب پذیری اصلی: CVE-2026-15176 , CVE-2026-93479 , CVE-2026-97205 , CVE-2026-95101 و CVE-2026-97629 . آنها بر نگاشت مسیر، ارزیابی متغیرها، عملیات فایل ناهمزمان، HTTP/3 درخواست بدن و TLS بلیط های جلسه نوردهی به پیکربندی بستگی دارد. نه هر NGINX استقرار در برابر اجرای کد از راه دور آسیب پذیر است.

اقدامات اولویت دار

  1. برای بسته‌های بالادستی، خط پایه وصله جداگانه Stable 1.30.6 یا Mainline 1.31.7 را ببینید. Mainline 1.31.8 در تاریخ تأیید بعدی در دسترس بود. برای بسته های توزیع و NGINX Plus، شعبه فروشنده و نسخه بسته کامل را تأیید کنید.
  2. ترکیبات حسابرسی شامل alias، rewrite، map، SSI/AIO، HTTP/3 و حافظه پنهان جلسه مشترک TLS. با استفاده از احراز هویت گواهی مشتری، نقاط پایانی و خدمات عمومی را اولویت بندی کنید.
  3. پیکربندی را تأیید اعتبار کنید، سپس مجدداً راه اندازی کنید یا جایگزین هایی را برای هر نمونه قدیمی عرضه کنید. یک بارگذاری مجدد پیکربندی معمولی ثابت نمی کند که باینری زنده به روز شده است.

تایید و پیگیری

تأیید کنید که نقاط پایانی واقعی از بسته‌ها یا تصاویر ثابت استفاده می‌کنند و آپلودهای پروکسی را آزمایش می‌کنند، محدودیت‌های بدنه را درخواست می‌کنند، مسیریابی و تأیید اعتبار گواهی مشتری. WAF، ASLR و تغییرات پیکربندی موقت نمی توانند جایگزین وصله ها شوند. نمی توان فرض کرد که وضعیت ثابت یک توزیع برای دیگری اعمال می شود.

این مقاله تحت تاریخ رویداد 14 اکتبر آرشیو شده است و شامل اطلاعات بعدی است. راهنمای کامل آسیب‌پذیری و اصلاح NGINX را بخوانید برای پیکربندی‌های آسیب‌دیده، اصلاحات شاخه‌های خاص، مکانیسم‌های وصله، کاهش‌های موقت و منابع رسمی.