NGINX കേടുപാടുകൾ: കാരണങ്ങൾ, പരിഹാരങ്ങൾ, ഉൽപ്പാദന പരിശോധന

ചരിത്രപരമായ ലേഖന തീയതി: 2026-10-14 (വെളിപ്പെടുത്തലും സുരക്ഷാ റിലീസ് തീയതിയും). 2026-10-27 വഴി സ്രോതസ്സുകൾ പരിശോധിച്ച് അനുബന്ധ വിവരങ്ങൾ.

ഈ ലേഖനം ഇവൻ്റ് തീയതി പ്രകാരം ആർക്കൈവ് ചെയ്തിരിക്കുന്നു; ഒക്ടോബർ 14-ന് ശേഷം പുറത്തിറക്കിയ പതിപ്പും റിലീസ് അപ്‌ഡേറ്റുകളും ചുവടെ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്. പ്രേക്ഷകർ: NGINX Open Source / NGINX Plus വെബ്‌സൈറ്റും റിവേഴ്‌സ് പ്രോക്‌സി ഓപ്പറേഷൻ ആൻഡ് മെയിൻ്റനൻസ് ജീവനക്കാർ, സെക്യൂരിറ്റി റെസ്‌പോൺസ് ഉദ്യോഗസ്ഥർ, ഡിസ്ട്രിബ്യൂഷൻ മെയിൻ്റനർമാർ, കൂടാതെ NGINX സ്വയം കംപൈൽ ചെയ്യുകയും മൂന്നാം കക്ഷി മൊഡ്യൂളുകൾ പരിപാലിക്കുകയും ചെയ്യുന്ന എഞ്ചിനീയർമാർ.

ഈ ലേഖനം 2026 ഒക്ടോബർ 14-ന് വെളിപ്പെടുത്തിയതും തീവ്രമായി പരിഹരിച്ചതുമായ അഞ്ച് NGINX കോർ കേടുപാടുകളിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു, കൂടാതെ 2026 മെയ് മുതൽ സെപ്തംബർ വരെയുള്ള പ്രാതിനിധ്യ മെമ്മറി സുരക്ഷയും സമഗ്രത കേടുപാടുകൾ അഭ്യർത്ഥിക്കുകയും ചെയ്യുന്നു. നടപടികൾ, ഔദ്യോഗിക പാച്ച് നടപ്പിലാക്കൽ, പഴയ ശാഖകളിലേക്കുള്ള ബാക്ക്പോർട്ടുകൾ, ഉൽപ്പാദന പരിശോധന. S1 പോലുള്ള റഫറൻസുകൾ ഉറവിട അനുബന്ധത്തിലേക്ക് ലിങ്ക് ചെയ്യുന്നു. വിന്യാസവും ഓഡിറ്റിംഗ് ആശയങ്ങളും ചിത്രീകരിക്കാൻ മാത്രമേ ഉദാഹരണ കോൺഫിഗറേഷനുകൾ ഉപയോഗിക്കൂ, നടപ്പിലാക്കുന്നതിന് മുമ്പ് യഥാർത്ഥ പതിപ്പ്, കോൺഫിഗറേഷൻ പാരമ്പര്യം, ആശ്രിതത്വം, ബിസിനസ്സ് ശേഷി എന്നിവയെ അടിസ്ഥാനമാക്കി പരിശോധിച്ചുറപ്പിക്കേണ്ടതാണ്.

TL;DR: മുൻഗണനാ പ്രവർത്തനങ്ങൾ

സുരക്ഷാ നവീകരണത്തിന് മുൻഗണന നൽകുക. വേണ്ടി nginx.org ഓപ്പൺ സോഴ്സ് പാക്കേജുകൾ, അപ്ഡേറ്റ് ചെയ്യുക Stable 1.30 കുറഞ്ഞത് ശാഖ 1.30.6 കൂടാതെ Mainline 1.31 കുറഞ്ഞത് ശാഖ 1.31.7. സ്ഥിരീകരണ തീയതിയിൽ, 1.31.8 ഏറ്റവും പുതിയതാണ് Mainline റിലീസ്. ഇവ പ്രത്യേക ബ്രാഞ്ച് അടിസ്ഥാനങ്ങളാണ്; ശാഖകളിലുടനീളം അവയുടെ എണ്ണം താരതമ്യം ചെയ്യരുത്. S1 S2
പൂർണ്ണ പാക്കേജ് പതിപ്പ് ഉപയോഗിച്ച് വിതരണ ഇൻസ്റ്റാളേഷനുകൾ പരിശോധിക്കുക. Ubuntu 22.04 / 24.04 / 26.04 / 26.10 വെണ്ടർ ബാക്ക്‌പോർട്ടുകൾ ഉണ്ട്; Debian 13 (trixie) ന് കുറഞ്ഞത് 1.26.3-3+deb13u10 ആവശ്യമാണ്. പരിശോധിച്ചുറപ്പിക്കുമ്പോൾ, Debian 12 (bookworm) പാക്കേജ് 1.22.1-9+deb12u10 ഇപ്പോഴും ബാധിച്ചതായി അടയാളപ്പെടുത്തിയിരിക്കുന്നു. ഓരോ CVE പരിശോധിക്കുക; Debian 13 ഉപദേശം Debian 12 സ്ഥിരമാണെന്ന് സ്ഥാപിക്കുന്നില്ല. S13 S14 S15
അഞ്ച് കോൺഫിഗറേഷൻ കോമ്പിനേഷനുകൾ ഓഡിറ്റ് ചെയ്യുക: alias + rewrite + $request_filename , map + regex + വേരിയബിൾ മൂല്യനിർണ്ണയം, aio + ssi + include virtual , HTTP/3 കൂടെ proxy_request_buffering on , ഒപ്പം ssl_session_cache shared:... ഓട്ടോമാറ്റിക് ഉപയോഗിച്ച് TLS സെഷൻ ടിക്കറ്റ് കീ റൊട്ടേഷൻ. ഒരു നിർദ്ദേശത്തിൻ്റെ സാന്നിധ്യം മാത്രം ചൂഷണം സ്ഥാപിക്കുന്നില്ല; അഭ്യർത്ഥന പാതയും കോൺഫിഗറേഷൻ സ്കോപ്പും വിലയിരുത്തുക. S1 S3 S4
എല്ലാ പഴയ പ്രക്രിയകളും കണ്ടെയ്നറുകളും മാറ്റിസ്ഥാപിക്കുക. nginx -t പ്രവർത്തിപ്പിക്കുക, തുടർന്ന് സേവനം പുനരാരംഭിക്കുക അല്ലെങ്കിൽ ഉയർന്ന ലഭ്യതയുള്ള റോളിംഗ് വിന്യാസം നടത്തുക. പഴയ master/worker പ്രോസസ്സുകൾ പുറത്തുകടന്നുവെന്ന് സ്ഥിരീകരിക്കുക; nginx -s reload മാത്രം പ്രവർത്തിക്കുന്ന ബൈനറി മാറിയെന്ന് തെളിയിക്കുന്നില്ല.
യഥാർത്ഥ അവസാന പോയിൻ്റുകൾ പരിശോധിക്കുക: HTTP/1.1 , HTTP/2 , HTTP/3 പ്രവർത്തനക്ഷമമാക്കിയാൽ, പ്രോക്സിഡ് അപ്‌ലോഡുകളും API അഭ്യർത്ഥന ശരീരങ്ങൾ, mTLS സർട്ടിഫിക്കറ്റ് ആധികാരികത, SSI പേജുകളും ആക്സസ് ലോഗുകളും. ഓരോ എൻഡ് പോയിൻ്റിനും പാക്കേജ് പ്രൊവെനൻസ്, പതിപ്പ്, ഇമേജ് ഡൈജസ്റ്റ്, റൺ ചെയ്യുന്ന പ്രക്രിയകൾ, ഫലങ്ങൾ എന്നിവ രേഖപ്പെടുത്തുക.
ഉടനടി അപ്‌ഗ്രേഡ് ചെയ്യുന്നത് അസാധ്യമാണെങ്കിൽ, ബാധകമായ ട്രിഗർ വ്യവസ്ഥകൾ നീക്കം ചെയ്യുക: അനാവശ്യമായത് പ്രവർത്തനരഹിതമാക്കുക SSI / AIO അല്ലെങ്കിൽ HTTP/3 , റിവ്യൂ ദുർബലമായ alias / rewrite / map വേരിയബിൾ റഫറൻസുകൾ, താൽക്കാലികമായി വിലയിരുത്തുക ssl_session_tickets off; ബാധിച്ചതിന് mTLS സേവനങ്ങൾ. WAF , ASLR , നിരക്ക് പരിധികളും കോൺഫിഗറേഷൻ മാറ്റങ്ങളും ചില വ്യവസ്ഥകൾ മാത്രം ഉൾക്കൊള്ളുന്നു, മാത്രമല്ല ഔദ്യോഗിക പാച്ചുകൾ മാറ്റിസ്ഥാപിക്കാൻ കഴിയില്ല. S3 S4 S8 S12

1. വൾനറബിലിറ്റി അവലോകനവും റിസ്ക് വിധിയും

അഞ്ച് സുരക്ഷാ പ്രശ്‌നങ്ങൾ പരിഹരിച്ച് 2026 ഒക്ടോബർ 14-ന് NGINX 1.30.6 (Stable), 1.31.7 (Mainline) എന്നിവ പുറത്തിറക്കി. മൂന്നെണ്ണത്തിൽ ഹീപ്പ് ഓവർഫ്ലോകൾ അല്ലെങ്കിൽ ഉപയോഗത്തിന് ശേഷമുള്ള ഉപയോഗം ഉൾപ്പെടുന്നു, കൂടാതെ 9.2 / ക്രിട്ടിക്കൽ എന്നതിൻ്റെ F5 CVSS v4.0 സ്‌കോറുകൾ ലഭിച്ചു. മറ്റ് രണ്ടെണ്ണം HTTP/3 അഭ്യർത്ഥന സമഗ്രതയെയും TLS ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണത്തെയും ബാധിക്കുന്നു. S1 S2 S3

റേറ്റിംഗ് സിസ്റ്റങ്ങളെ വേർതിരിക്കുക: nginx.org അഞ്ച് ലക്കങ്ങളും medium ആയി ലിസ്റ്റുചെയ്യുന്നു, അതേസമയം F5 CVSS v4.0 കൂടാതെ ചില ദേശീയ സുരക്ഷാ ഏജൻസികളും മൂന്ന് മെമ്മറി പ്രശ്‌നങ്ങളെ ഗുരുതരമെന്ന് തരംതിരിക്കുന്നു. അഞ്ച് പേരും നിരുപാധികമായ റിമോട്ട് കോഡ് എക്‌സിക്യൂഷൻ അനുവദിക്കുന്നു എന്നല്ല ഇതിനർത്ഥം. ആക്രമണകാരിയുടെ നിയന്ത്രണത്തിന് പുറത്തുള്ള കോൺഫിഗറേഷൻ, ട്രാഫിക്ക് എത്തിച്ചേരൽ, സാഹചര്യങ്ങൾ എന്നിവ പ്രധാനമാണ്. മെമ്മറി അഴിമതിയും വിശ്വസനീയമായ RCE തെളിവുകളുടെ വ്യത്യസ്ത തലങ്ങളാണ്. S1 S3 S4

സി.വി.ഇ	സാങ്കേതിക പ്രശ്നങ്ങളും സാധാരണ ട്രിഗർ അവസ്ഥകളും	കാതലായ ആഘാതം	വിലയിരുത്തലും നിർമാർജനവും
CVE-2026-15176	`alias` പാത്ത് മാപ്പിംഗ് + `rewrite` മാറ്റം URI + മൂല്യനിർണ്ണയം `$request_filename`	ഹീപ്പ് ബഫർ ഓവർഫ്ലോ, Worker ക്രാഷ്; ചില വ്യവസ്ഥകളിൽ സാധ്യതയുള്ള RCE	F5 CVSS v4.0 9.2; പ്രശ്നപരിഹാരത്തിന് മുൻഗണന നൽകുക
CVE-2026-93479	HTTP/Stream സ്ക്രിപ്റ്റ് മൂല്യനിർണ്ണയം, പ്രത്യേകിച്ച് `map` റീജക്സ് ക്യാപ്‌ചർ, root ഡയറക്‌ടറി, ലോഗ് വേരിയബിൾ ക്രോസ്-റഫറൻസ്	റിസർവ് ചെയ്ത ബഫർ തിരുത്തിയെഴുതുകയും കൂമ്പാരം കവിഞ്ഞൊഴുകുകയും ചെയ്യുന്നു; ചില വ്യവസ്ഥകളിൽ സാധ്യതയുള്ള RCE	F5 CVSS v4.0 9.2; മുമ്പത്തെ അറ്റകുറ്റപ്പണികൾക്ക് ശേഷമുള്ള ഒരു റിഗ്രഷൻ റിസ്ക് ആണ്
CVE-2026-97205	SSI വെർച്വൽ ഉൾപ്പെടുന്നു കൂടാതെ AIO/അസിൻക്രണസ് പ്രവർത്തനം; മികച്ച പ്രവർത്തന എണ്ണം ഓവർഫ്ലോ	ഉപയോഗത്തിന് ശേഷം സൗജന്യം, Worker ക്രാഷ്, മെമ്മറി കറപ്ഷൻ; സാധ്യതയുള്ള RCE	F5 CVSS v4.0 9.2; സ്ഥിരമല്ലാത്ത കോൺഫിഗറേഷൻ ആവശ്യമാണ്
CVE-2026-95101	HTTP/3 അജ്ഞാത ഫ്രെയിം ബഫറുകളിലുടനീളം വിഘടിച്ചിരിക്കുന്നു, പ്രോക്സി അഭ്യർത്ഥന ബോഡി ബഫറിംഗ് പ്രവർത്തനക്ഷമമാക്കി	അപ്‌സ്ട്രീം അഭ്യർത്ഥന ബോഡിയിലേക്ക് നോൺ-DATA ബൈറ്റുകൾ തെറ്റായി കുത്തിവയ്ക്കുന്നു, ഒരുപക്ഷേ അഭ്യർത്ഥന ബോഡി സൈസ് പരിധി മറികടന്നേക്കാം	ഈ അപകടസാധ്യത അഭ്യർത്ഥനയുടെ സമഗ്രതയെ ബാധിക്കുന്നു. ഇത് സ്വയം റിമോട്ട് കോഡ് എക്സിക്യൂഷൻ (RCE) നൽകുന്നില്ല.
CVE-2026-97629	പങ്കിട്ട TLS സെഷൻ കാഷെ, ഓട്ടോമാറ്റിക് കീ റൊട്ടേഷൻ, Worker കീ മിററിംഗ്	സെഷൻ ടിക്കറ്റ് വ്യാജം; ബാധിച്ച mTLS സേവനത്തിന് ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് ആധികാരികത ബൈപാസ് സംഭവിക്കാം	API തരത്തിലുള്ള സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണത്തിൻ്റെ ബിസിനസ്സ് സ്വാധീനത്തിന് പ്രത്യേക ശ്രദ്ധ നൽകേണ്ടതുണ്ട്

മുകളിലുള്ള CVSS സ്‌കോർ നൽകുന്നത് v4.0 ഉപയോഗിച്ച് F5 ആണ്; CVSS 3.1, nginx.org സ്വന്തം ഗ്രേഡുകളിലും വിതരണ തീവ്രത റേറ്റിംഗുകളിലും ഒരേ അപകടസാധ്യത വ്യത്യസ്ത തീവ്രത കാണിച്ചേക്കാം. S1 S3 S4

1.1 CVE സ്കോറുകൾക്ക് പകരം വിന്യാസ എക്സ്പോഷറിന് മുൻഗണന നൽകുക

വിന്യാസ ഫോം	പ്രധാന അന്വേഷണ പോയിൻ്റുകൾ	ഡിസ്പോസൽ മുൻഗണന ശുപാർശകൾ
ഇഷ്‌ടാനുസൃതമാക്കിയ `rewrite`, `alias`, സങ്കീർണ്ണമായ `map` എന്നിവ ഉൾപ്പെടെയുള്ള പൊതു നെറ്റ്‌വർക്ക് റിവേഴ്സ് പ്രോക്സി	CVE-2026-15176, CVE-2026-93479 കൂടാതെ മെയ് മുതൽ ജൂലൈ വരെയുള്ള കേടുപാടുകൾ തിരുത്തിയെഴുതുക/മാപ്പ് ചെയ്യുക	P0: ഓഡിറ്റ് ചെയ്ത് ഉടൻ അപ്ഡേറ്റ് ചെയ്യുക
API / മാനേജ്മെൻ്റ് വിമാനം ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് മാത്രം അല്ലെങ്കിൽ പ്രധാന പ്രവേശന പ്രാമാണീകരണമായി ഉപയോഗിക്കുന്നു	CVE-2026-97629-ൻ്റെ സെഷൻ ടിക്കറ്റും പങ്കിട്ട കാഷെ കോൺഫിഗറേഷനും	P0: പ്രാമാണീകരണ അതിർത്തിയും അപ്‌ഡേറ്റും ഉടനടി സ്ഥിരീകരിക്കുക
ബാഹ്യ HTTP/3 അപ്‌ലോഡ്, സ്റ്റാറ്റസ് മാറ്റ ഇൻ്റർഫേസ്, ഇടപാട് ക്ലാസ് API എന്നിവ നൽകുക	CVE-2026-95101, പ്രത്യേകിച്ച് അഭ്യർത്ഥന ബോഡി ബാക്കെൻഡിലേക്ക് പ്രോക്സി ചെയ്തിരിക്കുന്നു	P0/P1: ബിസിനസ് പ്രാധാന്യം അനുസരിച്ച് ക്രമീകരിക്കുക
SSI ഡൈനാമിക് പേജ് അല്ലെങ്കിൽ അസിൻക്രണസ് ഫയൽ I/O	CVE-2026-97205	P1: കോമ്പിനേഷൻ വ്യവസ്ഥകൾ സ്ഥിരീകരിച്ച് കഴിയുന്നതും വേഗം നന്നാക്കുക
സ്റ്റാറ്റിക് പേജുകൾ മാത്രം + ലളിതമായ HTTP/1.1/2 റിവേഴ്സ് പ്രോക്സി	കോൺഫിഗറേഷനും പതിപ്പും ഇപ്പോഴും ഓഡിറ്റ് ചെയ്യേണ്ടതുണ്ട്, എന്നാൽ ചില CVE വ്യവസ്ഥകൾ നഷ്‌ടമായേക്കാം	P1: എമർജൻസി സെക്യൂരിറ്റി അപ്‌ഗ്രേഡ് വിൻഡോയിൽ ഉൾപ്പെടുത്തിയിട്ടുണ്ട്
വിരമിച്ച Kubernetes കമ്മ്യൂണിറ്റി ingress-nginx ഉപയോഗിക്കുക	പദ്ധതി സുരക്ഷാ അറ്റകുറ്റപ്പണികൾ നിർത്തുന്നു, അപകടസാധ്യതകൾ ഈ അഞ്ച് CVE-കളിൽ മാത്രം പരിമിതപ്പെടുന്നില്ല	ഒരു വ്യക്തിഗത കൺട്രോളർ മൈഗ്രേഷൻ പ്ലാൻ ഉണ്ടാക്കുക

പൊതു നെറ്റ്‌വർക്ക് എക്‌സ്‌പോഷറിനും സർട്ടിഫിക്കേഷൻ സെൻസിറ്റിവിറ്റിക്കുമായി ഈ ലേഖനത്തിൽ നൽകിയിരിക്കുന്ന ഓപ്പറേഷൻ, മെയിൻ്റനൻസ് ഡിസ്‌പോസൽ നിർദ്ദേശങ്ങളാണ് P0/P1. ഇതൊരു ഔദ്യോഗിക CVSS ക്ലാസിഫിക്കേഷനല്ല, എൻ്റർപ്രൈസസിൻ്റെ ആന്തരിക ആസ്തി മാറ്റി പകരം റിസ്‌ക് അസസ്‌മെൻ്റ് മാറ്റാനും പാടില്ല.

1.2 ഇംപാക്റ്റ് അതിർത്തിയും ആക്രമണ അനുമതികളും

ഈ ബാച്ചിലെ പ്രധാന കേടുപാടുകൾ പ്രധാനമായും സ്ഥിതിചെയ്യുന്നത് NGINX ഡാറ്റാ പ്ലെയിനിലാണ്: ആക്രമണ എൻട്രി പോയിൻ്റ് ക്ലയൻ്റ് കണക്ഷനും അഭ്യർത്ഥനയുമാണ്, കൂടാതെ യഥാർത്ഥ ആഘാതം സാധാരണയായി സംഭവിക്കുന്നത് Worker പ്രക്രിയയിലാണ്. മെമ്മറി കറപ്ഷനുള്ള ചൂഷണം ചെയ്യാവുന്ന വ്യവസ്ഥകൾ പാലിക്കുകയാണെങ്കിൽ, കോഡ് എക്സിക്യൂഷൻ അനുമതി സാധാരണയായി പ്രവർത്തിക്കുന്ന ഉപയോക്താവ്, കണ്ടെയ്നർ നിയന്ത്രണങ്ങൾ, ലിനക്സ് ശേഷി, Worker-ൻ്റെ മൗണ്ടിംഗ്, നെറ്റ്‌വർക്ക് അനുമതികൾ എന്നിവയാൽ നിയന്ത്രിക്കപ്പെടുന്നു; സാധ്യതയുള്ള RCE യാന്ത്രികമായി root പ്രത്യേകാവകാശങ്ങളെയോ ഹോസ്റ്റ് വിട്ടുവീഴ്ചയെയോ സൂചിപ്പിക്കുന്നില്ല. S4

എന്നാൽ പ്രോക്‌സി ക്രെഡൻഷ്യലുകൾ, സർട്ടിഫിക്കറ്റ് പ്രൈവറ്റ് കീകൾ അടങ്ങുന്ന റീഡബിൾ ഫയലുകൾ, അപ്‌സ്ട്രീം സർവീസ് ടോക്കണുകൾ, താൽക്കാലിക ഫയലുകൾ, ഇൻ്റേണൽ API, ഒപ്പം എത്തിച്ചേരാവുന്ന നെറ്റ്‌വർക്കുകൾ എന്നിവയിലേക്കുള്ള ആക്‌സസ്സ് ഉണ്ടായിരിക്കാം. mTLS-ന്, ആധികാരികത ബൈപാസ് തന്നെ ഗുരുതരമായ ഒരു ബിസിനസ്സ് അനന്തരഫലമാണ്, കൂടാതെ കോഡ് നിർവ്വഹണത്തോടൊപ്പം ഉണ്ടായിരിക്കണമെന്നില്ല.

2. കാരണം വിശകലനം

2.1 NGINX-ലെ മൂന്ന് പിശക് സാധ്യതയുള്ള അതിരുകൾ മനസ്സിലാക്കുക

ഒരു NGINX worker എന്നത് അഭ്യർത്ഥന നില, അസമന്വിത പ്രവർത്തനങ്ങൾ, പ്രോട്ടോക്കോൾ പാർസറുകൾ എന്നിവ നിലനിർത്തുന്ന ഒരു ദീർഘകാല, ഇവൻ്റ്-ഡ്രൈവ് പ്രക്രിയയാണ്. ഈ ദുർബലത മൂന്ന് എഞ്ചിനീയറിംഗ് തലങ്ങളിൽ നിയന്ത്രണങ്ങൾ ഉൾക്കൊള്ളുന്നു:

വേരിയബിൾ മൂല്യനിർണ്ണയവും മെമ്മറി വലുപ്പവും സ്ഥിരമായിരിക്കണം: rewrite URI അഭ്യർത്ഥന മാറ്റിയ ശേഷം, പാത്ത് മാപ്പിംഗ് നിലവിൽ പ്രാബല്യത്തിൽ വരുന്ന location മായി പൊരുത്തപ്പെടണം; സ്‌ക്രിപ്റ്റ് ഇൻ്റർപ്രെറ്റർ വേരിയബിൾ ദൈർഘ്യം കണക്കാക്കുമ്പോൾ, റൈറ്റ് സ്‌പെയ്‌സ് യഥാർത്ഥ ഔട്ട്‌പുട്ടും റിസർവ് ചെയ്‌ത പ്രദേശങ്ങളും ഉൾക്കൊള്ളണം.
അസിൻക്രണസ് പ്രവർത്തനങ്ങൾ അഭ്യർത്ഥിച്ച മെമ്മറിയുടെ ജീവിത ചക്രം നീട്ടണം: പൂർത്തിയാകാത്ത ഫയൽ റീഡിംഗ്, റൈറ്റിംഗ്, കാഷെ വെയിറ്റിംഗ് അല്ലെങ്കിൽ ത്രെഡ് ടാസ്‌ക്കുകൾ എന്നിവ ഉണ്ടാകുമ്പോൾ, പ്രസക്തമായ അഭ്യർത്ഥന മെമ്മറി പൂൾ മുൻകൂട്ടി റിലീസ് ചെയ്യാൻ കഴിയില്ല.
പ്രോട്ടോക്കോൾ നിലയും സുരക്ഷാ നിലയും മിശ്രണം ചെയ്യാനോ ഒഴിവാക്കാനോ കഴിയില്ല: HTTP/3 അജ്ഞാത ഫ്രെയിം സ്കിപ്പിംഗിൻ്റെ ദൈർഘ്യം DATA അഭ്യർത്ഥന ബോഡി ദൈർഘ്യമായി കണക്കാക്കാനാവില്ല; TLS സിഗ്നേച്ചർ സ്ഥിരീകരണത്തിൽ പങ്കെടുക്കുന്ന എല്ലാ കീ സ്ലോട്ടുകളും സെഷൻ ടിക്കറ്റ് റൊട്ടേഷൻ സമയത്ത് ശരിയായി ആരംഭിക്കുകയും സമന്വയിപ്പിക്കുകയും വേണം.

ഇനിപ്പറയുന്ന ഉള്ളടക്കം NGINX അപ്‌സ്‌ട്രീം ഫിക്സ് കമ്മിറ്റിനെയും വെണ്ടർ അനൗൺസ്‌മെൻ്റിനെയും അടിസ്ഥാനമാക്കിയുള്ളതാണ്, അത് പ്രവർത്തനക്ഷമമാക്കാവുന്ന പരാജയ സംവിധാനം വിശദീകരിക്കുന്നു; ഉദാഹരണ ശകലം വിശകലനത്തിനുള്ളതാണ്, ഉൽപ്പാദന അന്തരീക്ഷം നന്നാക്കാൻ നേരിട്ട് ഉപയോഗിക്കാവുന്ന സമ്പൂർണ്ണ കോഡല്ല. S5 S6 S7 S8 S9

2.2 CVE-2026-15176: `alias`-നും മാറ്റിയെഴുതിയ URI-നും ഇടയിലുള്ള പാത്ത് മാപ്പിംഗ് അസാധുവാണ്.

NGINX-ൽ, പൊരുത്തപ്പെടുന്ന location, അതിൻ്റെ alias എന്നിവ ഫയൽ പാത നിർണ്ണയിക്കുന്നു; rewrite URI നിലവിലെ അഭ്യർത്ഥന മാറ്റാൻ കഴിയും. മാറ്റിയെഴുതിയ ശേഷം, യഥാർത്ഥ location മാപ്പിംഗ് ഉപയോഗിച്ച അനുമാനങ്ങൾ ഇനി നിലനിൽക്കില്ല.

ngx_http_map_uri_to_path()-ൽ alias നില പരിശോധിക്കുമ്പോൾ, അഭ്യർത്ഥന മാറ്റിയെഴുതിയിട്ടുണ്ടോ എന്ന് ബാധിച്ച പ്രോസസ്സിംഗ് പാത്ത് വേണ്ടത്ര പരിശോധിച്ചില്ല. റീറൈറ്റിംഗിന് ശേഷവും കോൺഫിഗറേഷൻ $request_filename മൂല്യനിർണ്ണയം തുടരുമ്പോൾ, നിലവിലെ URI അവസ്ഥയുമായി പൊരുത്തപ്പെടാത്ത അനുമാനങ്ങൾ ഉപയോഗിച്ച് പാത്ത് നിർമ്മിച്ചേക്കാം, ഒടുവിൽ ഹീപ്പ് മെമ്മറിയിലേക്ക് ഒരു പരിധിക്ക് പുറത്തുള്ള എഴുത്ത് ട്രിഗർ ചെയ്യുന്നു. S5

സാധാരണ കോമ്പിനേഷൻ (കോൺഫിഗറേഷൻ ഓഡിറ്റിന് ഒരു എതിർ ഉദാഹരണമായി മാത്രം ഉപയോഗിക്കുന്നു, വിന്യാസം ശുപാർശ ചെയ്യുന്നില്ല):

# 仅用于识别风险模式：不是修复配置
location /foo/ {
    alias /srv/alias-root/;
    rewrite ^/foo/.*$ /new-path;
    return 200 $request_filename;
}

അപകടസാധ്യത return-ൽ മാത്രം ഒതുങ്ങുന്നില്ല: set, if, add_header, log_format മുതലായവയും ഇതേ അഭ്യർത്ഥനയിൽ $request_filename മൂല്യനിർണ്ണയം ട്രിഗർ ചെയ്യപ്പെടുകയാണെങ്കിൽ ഓഡിറ്റ് ചെയ്യേണ്ടതുണ്ട്. ഉദാഹരണത്തിലെ return ഈ സംസ്ഥാന പാത കാണാൻ എളുപ്പമാക്കുന്നു, എല്ലാ പ്രൊഡക്ഷൻ കോൺഫിഗറേഷനുകളും ഓവർഫ്ലോകൾ ഉണ്ടാക്കുമെന്ന് അനുമാനിക്കാൻ ഇത് ഉപയോഗിക്കാനാവില്ല. S5 S10

ആക്രമണത്തിൻ്റെ അനന്തരഫലങ്ങൾ: ഒരു അഭ്യർത്ഥന നിർമ്മിക്കുന്നത് Worker പുനരാരംഭിക്കുന്നതിനോ സേവന തടസ്സപ്പെടുത്തുന്നതിനോ കാരണമായേക്കാം; ASLR അടച്ചിട്ടിരിക്കുന്നതോ ബൈപാസ് ചെയ്യാൻ കഴിയുന്നതോ ആയ സാഹചര്യങ്ങളിൽ, RCE സാധ്യതയുണ്ട്. ഒരു നിശ്ചിത ബഫർ വികസിപ്പിക്കുന്നതിനുപകരം, ഇപ്പോൾ സാധുതയില്ലാത്ത alias സന്ദർഭത്തിൽ മാറ്റിയെഴുതിയ URI പാത്ത് മാപ്പിംഗ് പൂർത്തിയാക്കാൻ വിസമ്മതിക്കുക എന്നതാണ് അപ്‌സ്ട്രീം പാച്ചിൻ്റെ കാതൽ. S5 S10

2.3 CVE-2026-93479: സ്‌ക്രിപ്റ്റ് മൂല്യനിർണ്ണയത്തിലെ “റിസർവ്ഡ് സ്‌പെയ്‌സും” യഥാർത്ഥ വേരിയബിൾ ദൈർഘ്യവും തമ്മിലുള്ള പൊരുത്തക്കേട്

NGINX-ൻ്റെ HTTP, Stream മൊഡ്യൂളുകൾക്ക് ലിറ്ററൽ സ്‌ട്രിംഗുകളും വേരിയബിൾ മൂല്യങ്ങളും ഫല സ്‌ട്രിംഗിലേക്ക് സംയോജിപ്പിക്കുന്ന സ്‌ക്രിപ്റ്റ് മൂല്യനിർണ്ണയം ഉണ്ട്. ആപ്ലിക്കേഷൻ ഉദാഹരണങ്ങളിൽ HTTP ഡോക്യുമെൻ്റ് root പാത്തുകൾ, ആക്സസ് ലോഗ് പാത്തുകൾ, Stream-ലെ വേരിയബിൾ എക്സ്പ്രഷനുകൾ എന്നിവ ഉൾപ്പെടുന്നു.

map + റെഗുലർ എക്‌സ്‌പ്രഷനുകളുടെ ചില കോൺഫിഗറേഷനുകൾ, map ഫല വേരിയബിൾ വിലയിരുത്തുന്നതിന് മുമ്പ് ക്യാപ്‌ചർ ചെയ്‌ത മൂല്യങ്ങൾ മറ്റ് എക്‌സ്‌പ്രഷനുകൾ വഴി വായിക്കാൻ അനുവദിക്കുന്നു. റിസർവ് ചെയ്ത ദൈർഘ്യമുള്ള സ്‌ക്രിപ്റ്റ് എക്‌സിക്യൂഷൻ രീതിയുമായി സംയോജിപ്പിച്ച്, പഴയ നടപ്പിലാക്കൽ len റിസർവ് ചെയ്‌ത സ്‌പെയ്‌സിനെ മൂല്യനിർണ്ണയ നീളം അക്യുമുലേറ്ററിലേക്ക് മുൻകൂട്ടി കണക്കാക്കും, അതിനാൽ തുടർന്നുള്ള റൈറ്റ് പോയിൻ്റർ കണക്കുകൂട്ടലുകൾ ഇനി ബഫർ ബൗണ്ടറിയുമായി പൊരുത്തപ്പെടുന്നില്ല. ഒരു നിർദ്ദിഷ്‌ട വേരിയബിൾ മൂല്യനിർണ്ണയ ക്രമത്തിൽ, തുടർന്നുള്ള സ്‌ട്രിംഗ് റൈറ്റുകൾ റിസർവ് ചെയ്‌ത പ്രദേശത്തെ പുനരാലേഖനം ചെയ്‌തേക്കാം, ഇത് ഒരു കൂമ്പാരം ഓവർഫ്ലോ ഉണ്ടാക്കുന്നു. S6

പങ്കാളിത്ത ഘടകങ്ങൾ	എന്തുകൊണ്ട് ഇത് ശ്രദ്ധിക്കേണ്ടതാണ്
`map`-ൽ regex	ക്യാപ്‌ചർ വേരിയബിൾ മൂല്യനിർണ്ണയത്തിന് സ്വതന്ത്ര ജീവിത ചക്രവും കാഷിംഗ് സ്വഭാവവും ഉണ്ടായിരിക്കാം
`$1`, `$2`, തുടങ്ങിയ അജ്ഞാത ക്യാപ്‌ചറുകൾ.	മറ്റ് പതിവ് എക്‌സ്‌പ്രഷനുകളോ എക്‌സ്‌പ്രഷനുകളോ ഉപയോഗിച്ച് എളുപ്പത്തിൽ തിരുത്തിയെഴുതുന്നു, ഉടമസ്ഥാവകാശം ട്രാക്ക് ചെയ്യുന്നത് ബുദ്ധിമുട്ടാക്കുന്നു
`root`-ലെ വേരിയബിളുകൾ	പാത്ത് ബിൽഡിംഗ് ട്രിഗർ ചെയ്യുമ്പോൾ സ്ക്രിപ്റ്റ് എക്സിക്യൂഷനും ബഫർ റിസർവേഷനും
`log_format`/ഡൈനാമിക് ലോഗ് പാത്ത്	ഇതേ തരത്തിലുള്ള മൂല്യനിർണ്ണയം പിന്നീട് അഭ്യർത്ഥനയിൽ ട്രിഗർ ചെയ്തേക്കാം
`stream`-ലെ സ്ക്രിപ്റ്റ് എക്സ്പ്രഷനുകൾ	അപ്‌സ്ട്രീം ഫിക്സ് `ngx_stream_script_run()` പരിഷ്കരിക്കുന്നു. നിങ്ങൾക്ക് HTTP മൊഡ്യൂൾ മാത്രം അവലോകനം ചെയ്യാൻ കഴിയില്ല.

പ്രധാനപ്പെട്ട റിഗ്രഷൻ ബന്ധം: ഈ ദുർബലതയുമായി ബന്ധപ്പെട്ട കോഡ് CVE-2026-42533 നിശ്ചയിച്ചിട്ടുള്ള മുൻ മാറ്റങ്ങളുമായി ബന്ധപ്പെട്ടതാണ്. Debian 13-നുള്ള ഔദ്യോഗിക DSA വ്യക്തമായി പ്രസ്താവിച്ചിരിക്കുന്നത്, മുൻകാല സുരക്ഷാ ബാക്ക്‌പോർട്ട് വഴി trixie പാക്കേജിലേക്ക് ബാധിത കോഡ് അവതരിപ്പിച്ചു എന്നാണ്. അതിനാൽ, “ജൂലൈ map വൾനറബിലിറ്റി പാച്ച് ഇൻസ്റ്റാൾ ചെയ്തു” എന്നതിനർത്ഥം ഒക്ടോബറിലെ CVE-2026-93479 പരിരക്ഷിക്കപ്പെട്ടുവെന്നല്ല; മുഴുവൻ സുരക്ഷാ ഫിക്സ് ചെയിൻ പരിശോധിക്കണം. S6 S14 S17

ഇവിടെ സാധ്യമായ RCE അപകടസാധ്യത മെമ്മറി പരിരക്ഷണ പരിതസ്ഥിതിയുമായി ബന്ധപ്പെട്ടതാണ്, കൂടാതെ map regex മാത്രം അജ്ഞാത ആക്രമണകാരികൾക്ക് പ്രയോജനപ്പെടുത്താൻ കഴിയുമെന്ന് അവകാശപ്പെടേണ്ടതില്ല. S11

2.4 CVE-2026-97205: AIO പൂർത്തിയാകാത്ത ഓപ്പറേഷൻ കൗണ്ട് റാപ്പറൗണ്ട് കാരണങ്ങൾ ഉപയോഗത്തിന് ശേഷം സൗജന്യം

ഈ അപകടസാധ്യത “SSI ഓണാക്കുക, നിങ്ങൾക്ക് UAF ലഭിക്കും” എന്നതല്ല. പ്രധാന അഭ്യർത്ഥന നടത്തുന്ന അസിൻക്രണസ് ഓപ്പറേഷൻ റഫറൻസ് കൗണ്ടിലാണ് പ്രധാനം.

NGINX ഇതുവരെ പൂർത്തിയാകാത്ത അസിൻക്രണസ് പ്രോസസ്സിംഗ് ട്രാക്കുചെയ്യുന്നതിന് r->main->blocked ഉപയോഗിക്കുക, പഴയ നടപ്പാക്കലിൽ ഇത് 8-ബിറ്റ് കൗണ്ട് ആയിരുന്നു; ചില പാതകൾ എണ്ണം വർദ്ധിപ്പിക്കുന്നതിന് മുമ്പ് ഉയർന്ന പരിധി പരിശോധന നടത്തിയില്ല. അതേ പ്രധാന അഭ്യർത്ഥന 256 കുടിശ്ശിക പ്രവർത്തനങ്ങൾ ശേഖരിക്കുമ്പോൾ, എണ്ണം 255 മുതൽ 0 വരെ പൊതിയാം. അഭ്യർത്ഥന റിലീസ് ചെയ്യുന്നതിൽ നിന്ന് ഒരു അസമന്വിത പ്രവർത്തനവും ഇല്ലെന്ന് തുടർന്നുള്ള പ്രക്രിയകൾ തെറ്റായി വിശ്വസിക്കും, അതുവഴി ടാസ്‌ക് ഇപ്പോഴും പരാമർശിച്ചിരിക്കുന്ന അഭ്യർത്ഥന മെമ്മറി പൂൾ റിലീസ് ചെയ്യും. S7

പരാജയ പ്രക്രിയയെ വിഭജിക്കാം:

അനുബന്ധ അസിൻക്രണസ് I/O/thread പാത്ത് പ്രവർത്തനക്ഷമമാക്കിയാൽ, SSI പേജ് include virtual വഴി ഒന്നിലധികം സബ്‌റിക്വസ്റ്റുകൾ അല്ലെങ്കിൽ റീഡ് ഓപ്പറേഷനുകൾ അവതരിപ്പിക്കുന്നു.
ഒരു നിശ്ചിത പ്രധാന അഭ്യർത്ഥനയുടെ മികച്ച പ്രവർത്തനങ്ങൾ കൗണ്ട് ഫീൽഡ് പ്രതിനിധീകരിക്കുന്ന ഉയർന്ന പരിധി വരെ ശേഖരിക്കപ്പെടും.
8-ബിറ്റ് കൗണ്ട് ചുറ്റും പൊതിയുന്നു, “തീർച്ചപ്പെടുത്താത്ത പ്രവർത്തനങ്ങളൊന്നുമില്ല” എന്ന് തെറ്റായി പ്രകടിപ്പിക്കുന്നു.
ഫയൽ റീഡുചെയ്യുമ്പോഴോ കാഷെ കാത്തിരിക്കുമ്പോഴോ ത്രെഡ് ടാസ്‌ക്കുകളുടെ കോൾബാക്കുകൾക്കിടയിലോ അഭ്യർത്ഥന മെമ്മറി പൂൾ റിലീസ് ചെയ്യപ്പെടും.
തുടർന്നുള്ള അസിൻക്രണസ് കംപ്ലീഷൻ കോൾബാക്കുകൾ റിലീസ് ചെയ്ത മെമ്മറിയിലേക്ക് പ്രവേശിക്കുന്നു, അതിൻ്റെ ഫലമായി UAF, Worker ക്രാഷുകൾ അല്ലെങ്കിൽ മെമ്മറി കറപ്ഷൻ സാധ്യമാണ്.

ഔദ്യോഗിക പരിഹാരം അഭ്യർത്ഥന ഹെഡർ ഫയലിലേക്ക് NGX_HTTP_MAX_BLOCKED 250 ചേർക്കുന്നു, കൂടാതെ ഔട്ട്‌പുട്ട് ഫിൽട്ടർ, കാഷെ റീഡ്, അപ്‌സ്ട്രീം ത്രെഡ് പാത്ത് എന്നിവയിലേക്ക് നിയന്ത്രണങ്ങൾ ചേർക്കുന്നു; പരിധിയിലെത്തുമ്പോൾ, സമന്വയിപ്പിച്ച പാതകളുള്ള പ്രവർത്തനങ്ങൾ സമന്വയത്തോടെ പൂർത്തിയാകും, അവ സുരക്ഷിതമായി പ്രോസസ്സ് ചെയ്യാൻ കഴിയുന്നില്ലെങ്കിൽ, തീർപ്പുകൽപ്പിക്കാത്ത ടാസ്ക്കുകളുടെ കൂടുതൽ കൂട്ടിച്ചേർക്കൽ നിരസിക്കപ്പെടും. S7

പ്രയോഗക്ഷമത വിധി: ഒരേ അഭ്യർത്ഥന ശൃംഖലയിൽ SSI, AIO, വെർച്വൽ ഉൾപ്പെടുത്തൽ, ഉപഅഭ്യർത്ഥനകൾ, അനുബന്ധ അസിൻക്രണസ് ഓപ്പറേഷനുകൾ എന്നിവ സംയോജിപ്പിച്ച് സംഭവിക്കുമോ എന്ന് വിലയിരുത്തേണ്ടതുണ്ട്. ഇവ സാധാരണയായി സ്ഥിരസ്ഥിതി പ്ലെയിൻ സ്റ്റാറ്റിക് പ്രോക്സി കോൺഫിഗറേഷനുകളല്ല. aio off; അല്ലെങ്കിൽ ssi off; നിർദ്ദിഷ്ട ട്രിഗർ ഘടകങ്ങൾ നീക്കം ചെയ്യാൻ കഴിയും, എന്നാൽ ബിസിനസ് ഫംഗ്ഷൻ ഡിപൻഡൻസികൾ ആദ്യം സ്ഥിരീകരിക്കണം. S4 S7 S25

2.5 CVE-2026-95101: HTTP/3 അജ്ഞാത ഫ്രെയിം DATA അഭ്യർത്ഥന ബോഡിയുടെ നിലയുമായി ആശയക്കുഴപ്പത്തിലാണ്

HTTP/3 ഫ്രെയിം പാഴ്‌സർ DATA ഫ്രെയിമുകളും (HTTP അഭ്യർത്ഥന ബോഡി പ്രോസസ്സിംഗിലേക്ക് കൈമാറേണ്ടതുണ്ട്) കൂടാതെ ഒഴിവാക്കേണ്ട അജ്ഞാത ഫ്രെയിമുകളും തമ്മിൽ വേർതിരിച്ചറിയണം. നെറ്റ്‌വർക്ക് ബഫറുകളിൽ ഉടനീളം വിഘടിപ്പിക്കുമ്പോൾ അജ്ഞാത ഫ്രെയിമുകളുടെ ദൈർഘ്യം കൃത്യമായി സംരക്ഷിക്കപ്പെടണം.

ngx_http_v3_parse_data()-ൻ്റെ പഴയ നിർവ്വഹണം, അജ്ഞാത ഫ്രെയിമുകൾ ഒഴിവാക്കുമ്പോൾ “ഒഴിവാക്കേണ്ട ശേഷിക്കുന്ന ബൈറ്റുകളുടെ എണ്ണം” സംരക്ഷിക്കാൻ st->length ഫീൽഡ് ഉപയോഗിച്ചു, അതേസമയം അഭ്യർത്ഥന ബോഡി ഫിൽട്ടർ അതേ ഫീൽഡിനെ “ശേഷിക്കുന്ന DATA പേലോഡ് ദൈർഘ്യം” ആയി വ്യാഖ്യാനിക്കുന്നു. അജ്ഞാത ഫ്രെയിം ഒന്നിലധികം പാഴ്‌സ് കോളുകൾ വ്യാപിക്കുകയാണെങ്കിൽ, പാഴ്‌സിംഗ് തടസ്സപ്പെട്ടതിന് ശേഷമുള്ള അടുത്ത ബാച്ച് ബൈറ്റുകൾ അഭ്യർത്ഥന ബോഡിയുടെ ഭാഗമായി തെറ്റിദ്ധരിച്ചേക്കാം. S8

രണ്ട് തരത്തിലുള്ള അപകടസാധ്യതകൾ ഉണ്ടാകുന്നു:

അഭ്യർത്ഥന ബോഡി ഇഞ്ചക്ഷൻ: ക്ലയൻ്റ് സമർപ്പിച്ച നോൺ-DATA ഫ്രെയിം പേലോഡ് അപ്‌സ്ട്രീം ആപ്ലിക്കേഷനിലേക്ക് കൈമാറുകയും ബാക്കെൻഡിന് യഥാർത്ഥത്തിൽ ലഭിച്ച ഡാറ്റ മാറ്റുകയും ചെയ്യാം.
വലുപ്പ പരിധി ബൈപാസുകൾ: client_max_body_size, മറ്റ് നിയന്ത്രണങ്ങൾ. പ്രതീക്ഷിക്കുന്ന പരിശോധനകൾ DATA പാതയിൽ കേന്ദ്രീകരിച്ചിരിക്കുന്നു, തെറ്റായി പരിവർത്തനം ചെയ്ത ഉള്ളടക്കം അനുബന്ധ പരിശോധനയെ മറികടന്നേക്കാം.

ngx_http_v3_module-ന് HTTP/3 അഭ്യർത്ഥന ലഭിക്കുകയും proxy_request_buffering on ഫോർവേഡ് ചെയ്യുകയും ചെയ്യുന്നതാണ് ഉദ്യോഗസ്ഥൻ വിവരിച്ച സാധാരണ ട്രിഗർ സാഹചര്യം. ngx_http_proxy_module-ൽ സ്ഥിരസ്ഥിതിയായി പ്രോക്സി അഭ്യർത്ഥന ബോഡി ബഫറിംഗ് പ്രവർത്തനക്ഷമമാക്കിയിരിക്കുന്നു. അതിനാൽ, HTTP/3 ഓണാക്കുന്ന റിവേഴ്സ് പ്രോക്സി ആദ്യം പരിശോധിക്കണം. proxy_request_buffering on; വ്യക്തമായി എഴുതിയിട്ടില്ലാത്തതിനാൽ ട്രിഗർ അവസ്ഥ ഇല്ലെന്ന് കരുതുന്നത് ഉചിതമല്ല. S8 S18

ഈ ദുർബലതയുടെ നേരിട്ടുള്ള അനന്തരഫലം ബാക്കെൻഡ് അഭ്യർത്ഥന സമഗ്രതയും സുരക്ഷാ അതിർത്തി മാറ്റവുമാണ്, ഇത് NGINX കോറിൽ നേരിട്ട് പൂർത്തിയാക്കിയ RCE ൻ്റെ തുല്യമായ പദപ്രയോഗമല്ല. ഈ ബൈറ്റുകൾ എങ്ങനെ പാഴ്‌സ് ചെയ്യുകയും അപ്‌സ്ട്രീമിൽ വിശ്വസനീയമാക്കുകയും ചെയ്യുന്നു എന്നതിനെ ആശ്രയിച്ചിരിക്കും ആത്യന്തിക ബിസിനസ്സ് സ്വാധീനം. S24

2.6 CVE-2026-97629: TLS ടിക്കറ്റ് റൊട്ടേഷൻ മൂന്നാം കീ സ്ലോട്ട് നഷ്‌ടമായി

ബാധിത കോൺഫിഗറേഷനുകളിൽ, പങ്കിട്ട മെമ്മറി കാഷെ വഴി NGINX-ന് TLS സെഷൻ ടിക്കറ്റ് കീകൾ സ്വയമേവ സൃഷ്ടിക്കാനും തിരിക്കാനും കഴിയും, ഒരേ ബാച്ച് ടിക്കറ്റുകൾ പ്രോസസ്സ് ചെയ്യാൻ ഒന്നിലധികം Worker അനുവദിക്കുന്നു.

പ്രസക്തമായ സിൻക്രൊണൈസേഷൻ ലോജിക് ഓരോ Worker-നും 3 കീ സ്ലോട്ടുകൾ അനുവദിക്കും, കൂടാതെ ഡീക്രിപ്ഷൻ കോൾബാക്കും ഈ സ്ലോട്ടുകളിൽ സഞ്ചരിക്കും; എന്നാൽ പഴയ നടപ്പാക്കൽ ഓരോ തവണയും പങ്കിട്ട മെമ്മറിയിൽ നിന്ന് 2 കീ സ്ലോട്ടുകൾ മാത്രം പകർത്തുന്നു, അതിൻ്റെ ഫലമായി മൂന്നാം സ്ലോട്ടിൻ്റെ കീ നാമം, HMAC കീ, AES എന്നിവ ലഭിക്കും. താക്കോൽ ആരംഭിക്കാതെ തന്നെ തുടരാം. ഒരു ടിക്കറ്റിൻ്റെ കീ ഐഡൻ്റിഫയർ ഈ സ്റ്റാറ്റസുമായി പൊരുത്തപ്പെടുന്നെങ്കിൽ, സിഗ്നേച്ചർ വെരിഫിക്കേഷനും ഡീക്രിപ്ഷനും അൺഇനീഷ്യലൈസ് ചെയ്ത കീ മെറ്റീരിയൽ ഉപയോഗിച്ചേക്കാം, അങ്ങനെ TLS സെഷൻ ഫോർജുചെയ്യാനുള്ള ഒരു പാത രൂപപ്പെടുന്നു. S9

ഉയർന്ന അപകടസാധ്യതയുള്ള വിന്യാസ കോമ്പിനേഷനുകൾ സാധാരണയായി:

# 仅为排查触发条件所示：共享缓存本身不是恶意配置
ssl_session_cache shared:SSL:10m;
# 未显式配置 ssl_session_ticket_key 文件，使用自动轮换机制

ssl_verify_client on;-ലും മറ്റ് വഴികളിലും ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണം (mTLS) ഉപയോഗിക്കുന്ന സേവനങ്ങളിൽ വ്യാജ വീണ്ടെടുക്കൽ സെഷനുകൾ ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് പരിശോധനയെ മറികടന്നേക്കാം എന്നതാണ് ഈ അപകടസാധ്യതയുടെ ഏറ്റവും ഗുരുതരമായ ബിസിനസ്സ് അനന്തരഫലം. ആക്രമണത്തിൻ്റെ വിജയവും നിയന്ത്രണാതീതമായ വ്യവസ്ഥകൾക്ക് വിധേയമാണ്; ഒരു സാധാരണ സെർവർ സൈഡ് HTTPS സർട്ടിഫിക്കറ്റ് മാത്രം ഉപയോഗിക്കുന്ന ഒരു സൈറ്റ്, കൂടാതെ ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് ആധികാരികത ഇല്ലാത്തതും “ആക്രമണകാരിക്ക് മുഴുവൻ വെബ്‌സൈറ്റ് ലോഗിനും മറികടക്കാൻ കഴിയും” എന്ന് തെറ്റായി ചിത്രീകരിക്കാൻ പാടില്ല. S9 S12

ഇതൊരു TLS സെഷൻ പ്രാമാണീകരണ സ്റ്റാറ്റസ് പ്രശ്‌നമാണ്, കൂടാതെ സെർവറിൻ്റെ TLS സ്വകാര്യ കീ ക്രാക്ക് ചെയ്‌തിട്ടുണ്ടോ അല്ലെങ്കിൽ പൊതു CA root സർട്ടിഫിക്കറ്റിനെ ബാധിച്ചിട്ടുണ്ടോ എന്നതുമായി ഇതിന് ബന്ധമില്ല. S24

2.7 DoS, RCE, പ്രാമാണീകരണ ബൈപാസും അറിയപ്പെടുന്ന ചൂഷണങ്ങളും എങ്ങനെ മനസ്സിലാക്കാം

DoS: മെമ്മറി പിശക് Worker ക്രാഷ് ചെയ്യുന്നതിനോ വൻതോതിൽ റീബൂട്ട് ചെയ്യുന്നതിനോ കാരണമാകുന്നു. ഇത് മൊത്തത്തിലുള്ള അപര്യാപ്തതയ്ക്ക് കാരണമാകുന്നുണ്ടോ എന്നത് ട്രാഫിക് സമ്മർദ്ദം, പ്രോസസ്സ് പുനരാരംഭിക്കാനുള്ള കഴിവ്, കണക്ഷൻ മെയിൻ്റനൻസ് സമയം, ഉയർന്ന ലഭ്യതയുള്ള ആർക്കിടെക്ചർ എന്നിവയുമായി ബന്ധപ്പെട്ടതാണ്.
സാധ്യതയുള്ള RCE: ചില അറിയിപ്പുകൾ സൂചിപ്പിക്കുന്നത് ASLR അടയ്‌ക്കുകയോ ബൈപാസ് ചെയ്യുകയോ ചെയ്യുമ്പോൾ കോഡ് എക്‌സിക്യൂഷൻ ഉണ്ടാകാനുള്ള സാധ്യതയുണ്ടെന്ന്. കമാൻഡുകൾ സ്ഥിരമായും സാർവത്രികമായും നടപ്പിലാക്കാൻ കഴിയുന്ന ഒരു പൊതു ആക്രമണ ശൃംഖല വെളിപ്പെടുത്തി എന്നല്ല ഇതിനർത്ഥം. S4
കുത്തിവയ്പ്പ്/ആധികാരികത ഉറപ്പാക്കൽ ബൈപാസ് അഭ്യർത്ഥിക്കുക: ഇത് നേരിട്ട് സംരക്ഷിത ബിസിനസ്സ് സ്റ്റാറ്റസ് അല്ലെങ്കിൽ അഭ്യർത്ഥന ഉള്ളടക്കം മാറ്റിയേക്കാം, ഷെൽ നേരിട്ട് ലഭിക്കാത്തതിനാൽ അവഗണിക്കാനാവില്ല.
ആക്രമണ ശ്രമങ്ങൾ കണ്ടെത്തി: 2026 മെയ് മാസത്തിൽ CVE-2026-42945 കാട്ടിനുള്ളിലെ ചൂഷണ പ്രവർത്തനങ്ങളുടെ റിപ്പോർട്ടുകൾ ഉണ്ട്; ഒക്ടോബറിലെ അഞ്ച് CVE-കളും വലിയ തോതിൽ വിജയകരമായി ചൂഷണം ചെയ്യപ്പെട്ടുവെന്ന് അർത്ഥമാക്കുന്നതിന് ഈ ചരിത്രപരമായ വസ്തുത നേരിട്ട് അനുമാനിക്കേണ്ടതില്ല. S23

3. റിപ്പയർ പതിപ്പും പാച്ച് തിരഞ്ഞെടുക്കലും

3.1 NGINX Open Source ഔദ്യോഗിക പാച്ച് അടിസ്ഥാനരേഖ

അപ്സ്ട്രീം ശാഖ	ഒക്ടോബറിലെ അഞ്ച് അപകടസാധ്യതകൾ ഉൾക്കൊള്ളുന്ന ആദ്യ ഔദ്യോഗിക പതിപ്പ്	2026-10-27-ലെ ശുപാർശകൾ
Stable 1.30.x	1.30.6（2026-10-14）	കുറഞ്ഞത് 1.30.6 ഇൻസ്റ്റാൾ ചെയ്യുക, തുടർന്നുള്ള സുരക്ഷാ പതിപ്പുകൾ പിന്തുടരുക.
Mainline 1.31.x	1.31.7（2026-10-14）	1.31.8（2026-10-21）
മുമ്പത്തെ NGINX Open Source ബ്രാഞ്ച്	”പഴയ വൾനറബിലിറ്റി പാച്ചുകൾ പ്രയോഗിച്ചു” എന്നതിനെ അടിസ്ഥാനമാക്കി മാത്രം ഇത് വിലയിരുത്താൻ കഴിയില്ല.	ആദ്യം പരിപാലിക്കുന്ന ശാഖയിലേക്ക് മൈഗ്രേറ്റ് ചെയ്യുക; അല്ലെങ്കിൽ, വെണ്ടർ ഒരു CVE-by-CVE അടിസ്ഥാനത്തിൽ പിന്തുണയുടെ ഔപചാരിക തെളിവ് നൽകേണ്ടതുണ്ട്.

nginx.org അപ്‌സ്‌ട്രീം സോഴ്‌സ് കോഡിൻ്റെ/ഔദ്യോഗിക ബ്രാഞ്ചിൻ്റെ പതിപ്പ് നിഗമനങ്ങളാണിവ, വിതരണ വെണ്ടർ നൽകുന്ന ബാക്ക്‌പോർട്ട് ചെയ്‌ത പരിഹാരങ്ങളുള്ള സുരക്ഷാ പാക്കേജ് നേരിട്ട് നിരസിക്കാൻ ഉപയോഗിക്കരുത്. 1.31.6-ൻ്റെ മൂല്യം 1.30.6-നേക്കാൾ കൂടുതലാണെങ്കിലും, അത് മെയിൻലൈൻ ബ്രാഞ്ചിൻ്റെ പാച്ച് ബേസ്‌ലൈനേക്കാൾ കുറവാണ്. S1 S2

3.2 അഞ്ച് CVE-കളുടെ അപ്‌സ്ട്രീം ഇംപാക്ട് സ്കോപ്പ്

nginx.org സെക്യൂരിറ്റി ബുള്ളറ്റിൻ്റെ ഒറിജിനൽ ടെക്‌സ്‌റ്റ് അനുസരിച്ച് ഇനിപ്പറയുന്ന ശ്രേണികൾ ലിസ്‌റ്റ് ചെയ്‌തിരിക്കുന്നു കൂടാതെ “നിലവിലെ പ്രവർത്തിക്കുന്ന ബ്രാഞ്ച്”, “യഥാർത്ഥ കോൺഫിഗറേഷൻ പാത്ത്” എന്നിവയുമായി സംയോജിച്ച് മനസ്സിലാക്കേണ്ടതുണ്ട്:

സി.വി.ഇ	അപ്‌സ്ട്രീം ടാഗുകൾ ബാധിച്ച പതിപ്പുകൾ	ഔദ്യോഗികമായി ലേബൽ ചെയ്ത സ്ഥിര പതിപ്പ്
CVE-2026-15176	`0.1.29–1.31.6`	`1.30.6+` അല്ലെങ്കിൽ `1.31.7+`, അതത് ശാഖകൾക്കുള്ളിൽ
CVE-2026-93479	`1.30.0–1.30.5`，`1.31.2–1.31.6`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ
CVE-2026-97205	`0.8.11–1.31.6`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ
CVE-2026-95101	`1.25.0–1.31.6`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ
CVE-2026-97629	`1.23.2–1.31.6`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ

CVE-2026-93479-ന് പ്രത്യേക ആമുഖ-പതിപ്പ് പരിധികളുണ്ട്; എല്ലാ പഴയ NGINX പതിപ്പും ഈ റിഗ്രഷൻ ബാധിക്കില്ല. ആ ശ്രേണികൾക്ക് പുറത്തുള്ള പഴയ പതിപ്പുകളെ മുമ്പത്തെ map regex ദുർബലത CVE-2026-42533 ബാധിച്ചേക്കാം. S1

3.3 Ubuntu: വിതരണ ബാക്ക്‌പോർട്ടുകൾ (USN-8955-1)

കാനോനിക്കൽ USN-8955-1 ഒക്ടോബർ 26, 2026 നാല് Ubuntu ബിൽഡുകൾക്ക് സുരക്ഷാ അപ്‌ഡേറ്റ് നൽകുന്നു: S13

Ubuntu പതിപ്പ്	`nginx` ഉം അതേ ഉറവിട പാക്കേജ് സ്ഥിര പതിപ്പും	വിവരണം
22.04 LTS	`1.18.0-6ubuntu14.22`	ഇതൊരു വെണ്ടർ ബാക്ക്‌പോർട്ടാണ്; അപ്‌സ്ട്രീം പതിപ്പ് നമ്പർ ഇപ്പോഴും 1.18.0 കാണിക്കുന്നു
24.04 LTS	`1.24.0-2ubuntu7.19`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ
26.04 LTS	`1.28.3-2ubuntu1.12`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ
26.10	`1.30.4-7ubuntu1.1`	മുകളിൽ പറഞ്ഞതുപോലെ തന്നെ

പ്രഖ്യാപനത്തിൽ nginx-core, nginx-extras, nginx-full, nginx-light തുടങ്ങിയ ഹോമോലോഗസ് പാക്കേജുകളുടെ നിശ്ചിത പതിപ്പുകൾ അടങ്ങിയിരിക്കുന്നു. nginx -v കാണിക്കുന്ന അപ്‌സ്ട്രീം ഭാഗത്ത് നിന്ന് ഇത് ശരിയാക്കണോ എന്നതിനെക്കുറിച്ച് നിഗമനങ്ങളിൽ എത്തിച്ചേരരുത്. Ubuntu 24.04, 1.24.0-2ubuntu7.19 എന്നിവ ഈ വെണ്ടർ പാച്ച് ചെയ്തിട്ടുണ്ട്, എന്നാൽ ഏതെങ്കിലും ഉറവിടത്തിൽ നിന്ന് 1.24.0 അന്തർലീനമായി സുരക്ഷിതമല്ല.

Ubuntu അത് ഔദ്യോഗികമായും വ്യക്തമായി അടയാളപ്പെടുത്തി CVE-2026-95101 മാത്രം ബാധിക്കുന്നു Ubuntu 26.04 / 26.10 , ഒപ്പം CVE-2026-97629 മാത്രം ബാധിക്കുന്നു Ubuntu 24.04 / 26.04 / 26.10. ഇതാ Ubuntu ൻ്റെ സ്വന്തം പാക്കേജിംഗും പ്രവർത്തനപരമായ സ്കോപ്പും, മറ്റ് വിതരണങ്ങളിലേക്ക് നേരിട്ട് പ്രമോട്ടുചെയ്യാൻ കഴിയില്ല. S13

3.4 Debian: പതിപ്പുകൾ തമ്മിലുള്ള വ്യത്യാസങ്ങൾ പ്രത്യേകം പരിശോധിക്കണം

Debian ഉപദേശക DSA-6575-1 (2026-10-21) ഈ അഞ്ച് CVE-കൾ ഉൾക്കൊള്ളുന്നു കൂടാതെ Debian 13 / trixie എന്നതിനായുള്ള സ്ഥിരമായ nginx പാക്കേജ് ഇനിപ്പറയുന്നതായി തിരിച്ചറിയുന്നു:

1.26.3-3+deb13u10

എന്നിരുന്നാലും, ഈ റിപ്പോർട്ടിൻ്റെ സ്ഥിരീകരണ സമയം വരെ, Debian 12 / bookworm-നുള്ള 1.22.1-9+deb12u10, Debian സെക്യൂരിറ്റി ട്രാക്കർ ഇപ്പോഴും അപകടസാധ്യതയുള്ളതായി ഫ്ലാഗുചെയ്യുന്നു. അതുകൊണ്ട്:

Debian 13 DSA-6575-1 അനുസരിച്ച് അപ്‌ഡേറ്റ് ചെയ്‌ത് അംഗീകരിക്കുക.
Debian 12 നിലവിലെ സെക്യൂരിറ്റി ട്രാക്കർ അല്ലെങ്കിൽ ELTS വെണ്ടർ നൽകുന്ന സുരക്ഷാ പരിഹാരങ്ങൾ ഓരോന്നായി പരിശോധിക്കണം; പ്രഖ്യാപനത്തിൽ പരിഹരിക്കൽ സ്ഥിരീകരിക്കുന്നതിന് മുമ്പ്, apt upgrade-ൻ്റെ വിജയത്തെ അടിസ്ഥാനമാക്കി അഞ്ച് ഇനങ്ങളും പരിഹരിച്ചതായി പ്രഖ്യാപിക്കരുത്.
Debian ഉറവിട പാക്കേജിൽ nginx.org പതിപ്പ് നമ്പറിൽ നിന്ന് സ്വതന്ത്രമായ ഒരു പാച്ച് സെറ്റ് ഉണ്ടായിരിക്കാം. ഇഷ്‌ടാനുസൃത ബിൽഡുകൾക്കായി, നിങ്ങൾ പൂർണ്ണമായ സോഴ്‌സ് കോഡ് പാക്കേജ് ഫിക്സ് സെറ്റ് പരിശോധിക്കേണ്ടതുണ്ട്, മാത്രമല്ല നിങ്ങൾക്ക് ഒരൊറ്റ അപ്‌സ്ട്രീം കമ്മിറ്റ് പകർത്തി അത് പൂർണ്ണമായി കണക്കാക്കാൻ കഴിയില്ല.

മുകളിലുള്ള വ്യത്യാസം DSA, CVE ട്രാക്കിംഗ് റെക്കോർഡുകളെ അടിസ്ഥാനമാക്കിയുള്ളതാണ്. S14 S15 S16

3.5 NGINX Plus, njs, ഇൻഗ്രെസ്സ് കൺട്രോളർ

ഉൽപ്പന്നങ്ങൾ/ഘടകങ്ങൾ	സുരക്ഷാ തിരഞ്ഞെടുപ്പും സ്ഥിരീകരണ കീ പോയിൻ്റുകളും
NGINX Plus (വാണിജ്യ പതിപ്പ്)	F5-ന് അനുയോജ്യമായ പ്ലസ് ബ്രാഞ്ചിൻ്റെ അറിയിപ്പും അപ്‌ഗ്രേഡ് നിർദ്ദേശങ്ങളും പരിശോധിക്കുക. സ്ഥിരീകരണ സമയത്ത് ഏറ്റവും പുതിയ CR `PLS.37.2.0.1` ആണ്, LTS-ൻ്റെ സുരക്ഷാ ബിൽഡ് `PLS.37.0.7.1` ആണ്; പ്ലസ് പതിപ്പും ഉൾപ്പെടുത്തിയ ബാക്ക്‌പോർട്ടും ഓപ്പൺ സോഴ്‌സിൻ്റെ 1.30/1.31 ത്രെഷോൾഡ് ഉപയോഗിച്ച് നേരിട്ട് മാറ്റിസ്ഥാപിക്കാൻ കഴിയില്ല. S19
njs / ngx_http_js_module	2026-10-14 `njs 1.0.2` റിലീസ് ചെയ്യുകയും CVE-2026-101019, CVE-2026-101025 എന്നിവ പരിഹരിക്കുകയും ചെയ്യുന്നു; നിങ്ങൾ njs ഉപയോഗിക്കുകയാണെങ്കിൽ, NGINX-യുമായുള്ള മൊഡ്യൂളിൻ്റെ അനുയോജ്യതയും നിങ്ങൾ പരിശോധിക്കണം. S20
F5 NGINX ഇൻഗ്രസ് കൺട്രോളർ / ഗേറ്റ്‌വേ ഫാബ്രിക്	NGINX കോർ ബന്ധപ്പെട്ടതും എന്നാൽ സ്വതന്ത്രവുമായ സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലയാണ്. അതത് കൺട്രോളറുകൾ, ഇമേജുകൾ, റിലീസ് നോട്ടുകൾ എന്നിവ ഉപയോഗിച്ച് പ്രസക്തമായ കേടുപാടുകൾ പരിഹരിക്കുക. നിങ്ങൾക്ക് പോഡിൽ NGINX ബൈനറി മാറ്റിസ്ഥാപിക്കാൻ കഴിയില്ല.
Kubernetes കമ്മ്യൂണിറ്റി `kubernetes/ingress-nginx`	പ്രോജക്റ്റ് 2026 മാർച്ചിൽ ഡീകമ്മീഷൻ ചെയ്യും, ഇനി പുതിയ സുരക്ഷാ അറ്റകുറ്റപ്പണികൾ നൽകില്ല. F5 NGINX ഇൻഗ്രെസ്സ് കൺട്രോളർ എന്നതിൻ്റെ റിലീസ് നമ്പർ തെറ്റിദ്ധരിക്കുന്നതിനുപകരം, പരിപാലിക്കപ്പെടുന്ന ഒരു കൺട്രോളറിലേക്കോ Gateway API-ലേക്കോ മൈഗ്രേറ്റ് ചെയ്യാൻ നിങ്ങൾ പ്ലാൻ ചെയ്യണം. S21

3.6 നിങ്ങൾ യഥാർത്ഥത്തിൽ ഏത് പാച്ച് തിരഞ്ഞെടുക്കണം?

വിന്യാസ ഫോം	ശുപാർശ ചെയ്യുന്ന സമ്പ്രദായങ്ങൾ	നന്നാക്കിയതിൻ്റെ തെളിവ്
nginx.org ഔദ്യോഗിക DEB/RPM പാക്കേജ്	അപ്‌സ്ട്രീം ബ്രാഞ്ചിൻ്റെ നിശ്ചിത പതിപ്പിലേക്ക് അപ്‌ഗ്രേഡ് ചെയ്യുക	`nginx -v/-V`, പാക്കേജ് ഉറവിടം, ഔദ്യോഗിക സുരക്ഷാ അറിയിപ്പ്
Ubuntu/Debian ഔദ്യോഗിക ശേഖരം	വെണ്ടർ സെക്യൂരിറ്റി പാക്കേജുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക	പൂർണ്ണ പാക്കേജ് പതിപ്പ് + വെണ്ടർ USN/DSA + CVE നില
RHEL/Alma/Rocky/SUSE/മറ്റ് വിതരണങ്ങൾ	നിർദ്ദിഷ്ട വിതരണ സുരക്ഷാ ബുള്ളറ്റിനുകളും പാക്കേജ് പതിപ്പുകളും അനുസരിച്ച് നവീകരിക്കുക	അനുബന്ധ വെണ്ടർ CSAF/പ്രഖ്യാപനം, Ubuntu/Debian പതിപ്പ് പ്രയോഗിക്കാൻ കഴിയില്ല
ഔദ്യോഗിക അല്ലെങ്കിൽ ഇഷ്ടാനുസൃത കണ്ടെയ്നർ ചിത്രങ്ങൾ	പരിശോധിച്ച റിപ്പയർ ഇമേജ് പുനർനിർമ്മിക്കുക അല്ലെങ്കിൽ വലിക്കുക, റോളിംഗ് അടിസ്ഥാനത്തിൽ അത് മാറ്റിസ്ഥാപിക്കുക	ഇമേജ് ഡൈജസ്റ്റ്, ബിൽഡ് SBOM, പ്രവർത്തിക്കുന്ന പോഡ്/കണ്ടെയ്‌നർ ഇമേജ് ഐഡി
സ്വയം സമാഹരിച്ച NGINX, OpenResty, Tengine അല്ലെങ്കിൽ മൂന്നാം കക്ഷി മൊഡ്യൂളുകൾ ഉപയോഗിച്ച് പാച്ച് ചെയ്ത പതിപ്പുകൾ	പരിപാലിക്കുന്നയാളുടെ പൂർണ്ണ സുരക്ഷാ പതിപ്പിൻ്റെ ഉപയോഗത്തിന് മുൻഗണന നൽകുക; ആവശ്യമുള്ളപ്പോൾ ടാർഗെറ്റ് സോഴ്‌സ് ട്രീയ്‌ക്കായി അവലോകനം ചെയ്‌ത പാച്ച് ബാക്ക്‌പോർട്ടുകൾ നടത്തുക	അഞ്ച് ദുർബലത പരിഹരിക്കലുകൾ, എബിഐ/മൊഡ്യൂൾ അനുയോജ്യത, യൂണിറ്റ്, ബിസിനസ് റിഗ്രഷൻ

OpenResty, Tengine എന്നിവ വ്യത്യസ്ത റിലീസ് സിസ്റ്റങ്ങളാണ്; ഈ പട്ടിക പരിശോധിച്ചുറപ്പിക്കൽ രീതി മാത്രമേ വിവരിക്കുന്നുള്ളൂ. സാധാരണ NGINX-ൻ്റെ അതേ സമയം അതിൻ്റെ എല്ലാ പതിപ്പുകളും ബാധിക്കപ്പെടുമെന്ന് അർത്ഥമാക്കുന്നില്ല, കൂടാതെ അപ്‌സ്ട്രീം കോഡ് പാച്ച് നിരുപാധികം പ്രയോഗിക്കാനും കഴിയില്ല.

4. ഔപചാരികമായ അറ്റകുറ്റപ്പണി പ്രക്രിയ

4.1 ബാഹ്യ ട്രാഫിക് സ്വീകരിക്കുന്നതിനുള്ള യഥാർത്ഥ സംഭവങ്ങളുടെ ഇൻവെൻ്ററി

ചുരുങ്ങിയത് ഓരോ എൻട്രിയും സമാഹരിക്കുക:

ഡൊമെയ്ൻ നാമം, ലോഡ് ബാലൻസിങ്/CDN/എഡ്ജ് പ്രോക്‌സി ലിങ്ക്, ഒറിജിൻ സൈറ്റ് എക്‌സ്‌പോഷർ രീതി, നെറ്റ്‌വർക്ക് പ്രോട്ടോക്കോൾ എന്നിവ ഉപയോഗിച്ചു.
NGINX ഉൽപ്പന്നങ്ങൾ (ഓപ്പൺ സോഴ്‌സ്, പ്ലസ്, ഇൻഗ്രെസ്സ് മുതലായവ), പൂർണ്ണ പതിപ്പ്, പാക്കേജ് ശേഖരണ ഉറവിടം, ഇമേജ് ഡൈജസ്റ്റ്.
nginx -V ബിൽഡിംഗ് മൊഡ്യൂളുകളും കംപൈലേഷൻ പാരാമീറ്ററുകളും പ്രദർശിപ്പിക്കുന്നു; njs, Lua, OpenResty എന്നിവയും മൂന്നാം കക്ഷി ഡൈനാമിക് മൊഡ്യൂളുകളും ഉണ്ടോ എന്ന്.
യഥാർത്ഥ റണ്ണിംഗ് master/worker PID, സേവന യൂണിറ്റ്/കണ്ടെയ്‌നർ/പോഡ്, റെപ്ലിക്ക, Worker നോഡ്.
യഥാർത്ഥ ഫലപ്രദമായ http/stream, server, location, include കോൺഫിഗറേഷനുകൾ.
HTTP/3, mTLS, SSI/AIO, ഡൈനാമിക് ലോഗ് പാത്ത്, സങ്കീർണ്ണമായ map, റീജക്സ് ക്യാപ്‌ചർ എന്നിവ പ്രവർത്തനക്ഷമമാക്കണോ.

സ്ഥിരസ്ഥിതി /etc/nginx/nginx.conf മാത്രം പരിശോധിക്കരുത്. പ്രൊഡക്ഷൻ എൻവയോൺമെൻ്റ് പലപ്പോഴും include വഴി ഒന്നിലധികം സൈറ്റുകൾ, TLS, മൊഡ്യൂൾ കോൺഫിഗറേഷനുകൾ എന്നിവ ലോഡ് ചെയ്യുന്നു. ഒന്നിലധികം NGINX ഇൻസ്റ്റലേഷൻ പാതകളോ ഒന്നിലധികം പ്രോക്സി ലെയറുകളോ ഉണ്ടായിരിക്കാം.

4.2 പതിപ്പും സമാഹാര വിവരങ്ങളും പരിശോധിക്കുക

# NGINX 版本及构建选项
nginx -v
nginx -V 2>&1

# Linux：查看实际运行的 NGINX 进程
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

# Debian / Ubuntu：查看完整已安装包版本、来源
apt-cache policy nginx
# 兼顾 nginx-core / nginx-full / nginx-extras 等实际已安装包
dpkg-query -W 'nginx*' 2>/dev/null

# RPM 系：以实际安装包及仓库公告为准
rpm -qa | grep '^nginx'

nginx -V കമാൻഡ്-ലൈൻ പാതയിൽ കണ്ടെത്തിയ ബൈനറിയുടെ നിർമ്മാണം റിപ്പോർട്ട് ചെയ്യുന്നു; പ്രവർത്തിക്കുന്ന worker ഇത് ലോഡ് ചെയ്തതായി തെളിയിക്കുന്നില്ല. nginx -v വിതരണത്തിൻ്റെ മുഴുവൻ പാക്കേജ് സഫിക്‌സും ഒഴിവാക്കിയേക്കാം, അതിനാൽ പാക്കേജ് മാനേജരോ സപ്ലൈ-ചെയിൻ രേഖകളോ പരിശോധിക്കുക.

4.3 ഫലപ്രദമായ കോൺഫിഗറേഷൻ കയറ്റുമതി ചെയ്യുകയും സ്റ്റാറ്റിക് സ്ക്രീനിംഗ് ആദ്യ റൗണ്ട് നടത്തുകയും ചെയ്യുക

nginx -T കോൺഫിഗറേഷൻ പരീക്ഷിക്കുകയും ലയിപ്പിച്ച കോൺഫിഗറേഷൻ ഉപേക്ഷിക്കുകയും ചെയ്യും. ഔട്ട്‌പുട്ടിൽ പ്രാമാണീകരണ ക്രെഡൻഷ്യലുകൾ, കീ പാതകൾ, ആന്തരിക ഹോസ്റ്റ് പേരുകൾ മുതലായവ പോലുള്ള സെൻസിറ്റീവ് വിവരങ്ങൾ അടങ്ങിയിരിക്കാം. root അനുമതികളും സ്വകാര്യ ഫയൽ അനുമതികളും ഉപയോഗിച്ച് നിയന്ത്രിത ടെർമിനൽ സംരക്ഷിക്കാൻ ശുപാർശ ചെയ്യുന്നു, കൂടാതെ യഥാർത്ഥ ഫയലുകൾ പൊതു വർക്ക് ഓർഡറുകളിൽ പോസ്റ്റ് ചെയ്യരുത്:

sudo sh -c 'umask 077; nginx -T > /root/nginx-effective.conf 2> /root/nginx-config-check.log'

sudo grep -nE \
  'alias|rewrite|map[[:space:]]|request_filename|aio[[:space:]]|ssi[[:space:]]|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_ticket_key|ssl_session_tickets|ssl_verify_client|log_format|root[[:space:]]' \
  /root/nginx-effective.conf

ഇത് കാൻഡിഡേറ്റ് പാത്ത് ലൊക്കേറ്റർ മാത്രമാണ്, വിശ്വസനീയമായ CVE ഓട്ടോമാറ്റിക് ഡിറ്റർമിനേഷൻ ടൂൾ അല്ല:

grep-ന് വേരിയബിളുകൾ ഒരേ location-ൽ ആണോ അതോ അതേ അഭ്യർത്ഥന മൂല്യനിർണ്ണയ ശൃംഖലയിലാണോ എന്ന് നിർണ്ണയിക്കാൻ കഴിയില്ല, അല്ലെങ്കിൽ കോൺഫിഗറേഷൻ ഇൻഹെറിറ്റൻസ് റിലേഷൻഷിപ്പ് കണക്കാക്കാനും കഴിയില്ല.
proxy_request_buffering on, ചില കാഷെ, ടിക്കറ്റ് കോൺഫിഗറേഷനുകൾക്ക് ഡിഫോൾട്ട് മൂല്യങ്ങളുണ്ട്, കൂടാതെ അനുബന്ധ നിർദ്ദേശങ്ങൾ എഴുതാത്തത് അപകടസാധ്യത അപ്രത്യക്ഷമാകുമെന്ന് അർത്ഥമാക്കുന്നില്ല.
റിവേഴ്‌സ് പ്രോക്‌സികൾ, CDN, കണ്ടെയ്‌നർ സൈഡ്‌കാറുകൾ അല്ലെങ്കിൽ കൺട്രോളറുകൾ സൃഷ്‌ടിക്കുന്ന കോൺഫിഗറേഷനുകൾ നേരിട്ട് പരിശോധിച്ച ഫയലുകളിൽ നിന്ന് വ്യത്യാസപ്പെട്ടേക്കാം.
NGINX Plus-ൻ്റെയും ഡൈനാമിക് മൊഡ്യൂളുകളുടെയും സവിശേഷതകൾ അവയുടെ ഔദ്യോഗിക മാനേജ്മെൻ്റ് ടൂളുകൾ ഉപയോഗിച്ച് സ്ഥിരീകരിക്കേണ്ടതുണ്ട്.

4.4 വിശ്വസനീയ ചാനലുകളിലൂടെ പരിഹരിക്കുക

Debian/Ubuntu (ഔദ്യോഗിക വിതരണ ശേഖരം):

sudo apt-get update
apt-cache policy nginx

# 升级发行版仓库中已经安装的 NGINX 及相关包；
# 先确认 Candidate 属于修复版本，再执行升级。
sudo apt-get install --only-upgrade nginx

# 对实际安装的 nginx-core / nginx-full / nginx-extras 等包
# 确认它们的版本和依赖一同达到厂商修复要求。
dpkg-query -W 'nginx*' 2>/dev/null

ഈ കമാൻഡുകൾക്ക് ഇതുവരെ ലഭ്യമല്ലാത്ത വായുവിൽ നിന്ന് സുരക്ഷാ പരിഹാരങ്ങൾ സൃഷ്ടിക്കാൻ കഴിയില്ല. പ്രത്യേകിച്ചും Debian 12-ന്, നവീകരിച്ച പാക്കേജ് സുരക്ഷാ ട്രാക്കിംഗ് സിസ്റ്റം ഇപ്പോഴും ദുർബലമാണെന്ന് കരുതുന്നുണ്ടെങ്കിൽ, അധിക വെണ്ടർ റിപ്പയർ, ഐസൊലേഷൻ അല്ലെങ്കിൽ മൈഗ്രേഷൻ നടപടികൾ ആവശ്യമാണ്. S13 S14 S15

nginx.org ഔദ്യോഗിക പാക്കേജ്:

# 先确认仓库来自 nginx.org、目标分支和候选版本
apt-cache policy nginx
# 经变更审批后再执行对应仓库的升级命令
sudo apt-get install --only-upgrade nginx

സ്വയം കംപൈൽ ചെയ്ത, OpenResty, Tengine അല്ലെങ്കിൽ NGINX Plus ഉപയോഗിക്കുകയാണെങ്കിൽ, അനുബന്ധ മെയിൻ്റനർ പിന്തുണയ്ക്കുന്ന ഫിക്സ് പതിപ്പ് ഉപയോഗിക്കുക കൂടാതെ nginx.org, ഡിസ്ട്രിബ്യൂഷൻ, മൂന്നാം കക്ഷി ശേഖരണ പാക്കേജുകൾ എന്നിവ മിക്സ് ചെയ്യരുത്. ഒറിജിനൽ ബൈനറികൾ/ചിത്രങ്ങൾ, കോൺഫിഗറേഷനുകൾ, ഒപ്പുകൾ, റോൾബാക്ക് വിന്യാസ മാനിഫെസ്റ്റുകൾ എന്നിവ സംരക്ഷിക്കപ്പെടണം.

കണ്ടെയ്‌നറുകൾ/Kubernetes: മാറ്റമില്ലാത്ത ഇമേജ് അപ്‌ഡേറ്റ് ചെയ്യുക, അതിൻ്റെ ഡൈജസ്റ്റ് റെക്കോർഡ് ചെയ്യുക, പഴയ എല്ലാ പകർപ്പുകളും ഒരു സ്റ്റേജ് റോൾഔട്ട് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുക. kubectl rollout status വിന്യാസ കൺട്രോളർ പൂർത്തിയായെന്ന് സ്ഥിരീകരിക്കുന്നു; ഇമേജ് ഡൈജസ്റ്റുകൾ, ഇൻഗ്രെസ് റൂട്ടിംഗ്, അനാരോഗ്യകരമായ പകർപ്പുകൾ എന്നിവയും പരിശോധിക്കുക.

4.5 കോൺഫിഗറേഷൻ പരിശോധിച്ച് പഴയ Worker മാറ്റിസ്ഥാപിക്കുക

sudo nginx -t
# 按服务实际名称、主机高可用和变更窗口执行重启
sudo systemctl restart nginx
sudo systemctl status nginx --no-pager

# 核查真正存在的 master / worker
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

ഒരു പുതിയ ബൈനറി പ്രവർത്തിക്കുന്നു എന്നതിൻ്റെ തെളിവായി nginx -s reload പരിഗണിക്കരുത്: സാധാരണ കോൺഫിഗറേഷൻ റീലോഡുകൾ പഴയ master അതിൻ്റെ എക്സിക്യൂട്ടബിൾ മാറ്റിസ്ഥാപിക്കാതെ പുതിയ തൊഴിലാളികളെ ആരംഭിക്കാൻ അനുവദിക്കുന്നു. NGINX ഒരു സമർപ്പിത ഓൺലൈൻ ബൈനറി അപ്‌ഗ്രേഡ് നടപടിക്രമത്തെ പിന്തുണയ്ക്കുന്നു, പക്ഷേ ഇതിന് അധിക ഘട്ടങ്ങളും പരിശോധനയും ആവശ്യമാണ്. ഒരു സ്ഥാപിത നടപടിക്രമമില്ലാതെ, ഉയർന്ന ലഭ്യതയുള്ള ട്രാഫിക് സ്വിച്ച് ഉപയോഗിക്കുക, തുടർന്ന് സേവനം പുനരാരംഭിക്കുക, അല്ലെങ്കിൽ പകരം വയ്ക്കുന്ന കണ്ടെയ്‌നറുകൾ റോൾ ചെയ്യുക. S22

systemd സോക്കറ്റ്, കണ്ടെയ്‌നർ എൻട്രി സ്‌ക്രിപ്റ്റ് അല്ലെങ്കിൽ ഒന്നിലധികം ഇൻസ്റ്റാളേഷനുകൾ വഴി നിങ്ങൾ NGINX നിയന്ത്രിക്കുകയാണെങ്കിൽ, systemctl restart nginx എല്ലാ സംഭവങ്ങളും ഉൾക്കൊള്ളുന്നുവെന്ന് നേരിട്ട് അനുമാനിക്കുന്നതിന് പകരം യഥാർത്ഥ ലോഞ്ച് ടാർഗെറ്റും പ്രോസസ്സ് പാത്തും നിങ്ങൾ പരിശോധിക്കണം.

4.6 യഥാർത്ഥ ബാഹ്യ പ്രവേശനത്തിൽ നിന്ന് ബിസിനസ്സ് റിഗ്രഷൻ സ്വീകരിക്കുകയും ചെയ്യുക

കുറഞ്ഞത് നടപ്പിലാക്കാൻ ശുപാർശ ചെയ്യുന്നു:

സാധാരണ HTTPS, മാറ്റിയെഴുതിയ റൂട്ടുകൾ, സ്റ്റാറ്റിക് ഉറവിടങ്ങൾ, alias മാപ്പിംഗ് പേജുകൾ എന്നിവ ശരിയാണോ.
സാധാരണ map ഡിസ്ട്രിബ്യൂഷൻ, വേരിയബിൾ root പാത്ത്, ആക്സസ് ലോഗ് പാത്ത്, SNI/സർട്ടിഫിക്കറ്റ് റൂട്ടിംഗ്, Stream പ്രോക്സി എന്നിവ ശരിയാണോ.
സാധാരണ അപ്‌ലോഡുകൾ, ചങ്ക് ചെയ്‌ത അപ്‌ലോഡുകൾ, API അഭ്യർത്ഥനകൾ, HTTP/3 (പ്രാപ്‌തമാക്കുമ്പോൾ) എന്നതിനായുള്ള അപ്‌സ്ട്രീം വോളിയം പരിധികൾ എന്നിവ ഇപ്പോഴും പ്രതീക്ഷിച്ചതുപോലെയാണോ.
mTLS: നിയമാനുസൃത സർട്ടിഫിക്കറ്റ് അഭ്യർത്ഥനകൾ വിജയിക്കണം; നഷ്‌ടമായതോ കാലഹരണപ്പെട്ടതോ അനധികൃതമായതോ ആയ സർട്ടിഫിക്കറ്റുകൾ ഇപ്പോഴും നിരസിക്കപ്പെടണം, കൂടാതെ TLS പുനരാരംഭിക്കൽ/വീണ്ടും കണക്ഷൻ ആകസ്‌മികമായി അനുമതികൾ മാറ്റരുത്.
SSI പേജും അസിൻക്രണസ് ഫയൽ ആക്‌സസും സാധാരണമാണോ; മെമ്മറി റഫറൻസുകൾക്കോ ആവർത്തിച്ചുള്ള Worker ക്രാഷുകൾക്കോ വേണ്ടിയുള്ള അസാധാരണമായ അഭ്യർത്ഥനകളൊന്നും പിശക് ലോഗ് കാണിക്കുന്നില്ല.
ട്രാഫിക് സ്വിച്ചിന് ശേഷം, പഴയ പതിപ്പ് പ്രോസസ്സും പഴയ ഇമേജ് റെപ്ലിക്കയും പുറത്തുകടക്കണം.

ടെസ്റ്റിംഗ് സ്വന്തം അല്ലെങ്കിൽ അംഗീകൃത പരിതസ്ഥിതിയിൽ നടത്തണം. സാധാരണ അഭ്യർത്ഥന സ്മോക്ക് ടെസ്റ്റ് മാത്രം മെമ്മറി ദുർബലത പരിഹരിച്ചു എന്ന് തെളിയിക്കാൻ കഴിയില്ല; ആത്യന്തികമായി, വിതരണക്കാരൻ്റെ സ്ഥിരമായ പതിപ്പ്, സോഴ്സ് കോഡ് പാച്ച്, റൺടൈം ടെസ്റ്റ് എന്നിവ സംയുക്തമായി സ്വീകരിക്കണം.

5. അടിയന്തര നവീകരണം സാധ്യമല്ലെങ്കിൽ ലഘൂകരണ നടപടികൾ

ഈ വിഭാഗം ഒരു റിസ്ക് റിഡക്ഷൻ ഓപ്ഷനാണ്, ഒരു പാച്ച് മാറ്റിസ്ഥാപിക്കലല്ല. എല്ലാ താൽക്കാലിക കോൺഫിഗറേഷൻ മാറ്റങ്ങളും ബാക്കപ്പ് ചെയ്യണം, nginx -t എക്സിക്യൂട്ട് ചെയ്യണം, ബാച്ചുകളായി റിലീസ് ചെയ്യണം, ആവശ്യമെങ്കിൽ വേഗത്തിൽ റോൾ ചെയ്യുക. S3 S4

5.1 ബാഹ്യ എക്സ്പോഷർ അടിസ്ഥാനമാക്കി ട്രാഫിക് മുൻഗണന നിയന്ത്രിക്കുക

കൃത്യസമയത്ത് അപ്‌ഗ്രേഡ് ചെയ്യാൻ കഴിയാത്ത സേവനങ്ങളുടെ ആക്രമണ പ്രതലം കുറയ്ക്കുന്നതിന് മുൻഗണന നൽകുക: മാനേജ്‌മെൻ്റ് ഉപരിതലത്തിലും ആന്തരിക API വിശ്വസനീയമായ ഉറവിട ആക്‌സസ്സ് നിയന്ത്രണം, അപ്‌സ്ട്രീം നെറ്റ്‌വർക്ക് ഐസൊലേഷൻ അല്ലെങ്കിൽ ഹ്രസ്വകാല ഓഫ്‌ലൈനിൽ ചേർക്കുക; ഉയർന്ന അപകടസാധ്യതയുള്ള പ്രവേശന കവാടങ്ങളിലേക്ക് കണക്ഷൻ, അഭ്യർത്ഥന ബോഡി, നിരക്ക് പരിധി എന്നിവ ചേർക്കുക; അഭ്യർത്ഥന പ്രോസസ്സിംഗ് ശൃംഖലയ്ക്ക് മുമ്പായി എൻട്രിയുമായി ബന്ധപ്പെട്ട NGINX-ൽ ഉറവിട പ്രാമാണീകരണം നടക്കുന്നുണ്ടെന്ന് ഉറപ്പാക്കുക. ഡാറ്റാ പ്ലെയിനിനുള്ളിൽ NGINX-ലാണ് മിക്ക കേടുപാടുകളും സ്ഥിതിചെയ്യുന്നത് എന്നത് ശ്രദ്ധിക്കേണ്ടതാണ്, പരമ്പരാഗത WAF നിയമങ്ങൾ ഇഷ്‌ടാനുസൃത കോൺഫിഗറേഷൻ ട്രിഗർ വ്യവസ്ഥകൾ കൃത്യമായി നിർണ്ണയിച്ചേക്കില്ല.

5.2 `alias` / `rewrite`: മാറ്റിയെഴുതിയതിന് ശേഷം `$request_filename` മൂല്യനിർണ്ണയം ഒഴിവാക്കുക

പരിശോധിച്ച് ക്രമീകരിക്കാൻ ശുപാർശ ചെയ്യുന്നു:

alias ഉപയോഗിച്ച് location-ൻ്റെ അതേ സമയം URI മാറ്റുന്ന rewrite നടത്താതിരിക്കാൻ ശ്രമിക്കുക.
URI മാറ്റിയെഴുതിയെങ്കിലും ശരിയായ പൊസിഷൻ ഇതുവരെ പൂർത്തിയായിട്ടില്ലാത്തപ്പോൾ $request_filename ഉപയോഗിക്കുന്നത് ഒഴിവാക്കുക.
return, set, if, add_header എന്നിവയിൽ പരോക്ഷ വേരിയബിൾ റഫറൻസുകൾ പരിശോധിക്കുക, ആക്സസ് ലോഗ് ഫോർമാറ്റ്, ഫയലുകൾ ഉൾപ്പെടുത്തുക.
ബിസിനസ്സ് അനുവദിക്കുമ്പോൾ വ്യക്തമായ root/try_files/സ്വതന്ത്ര location ഉപയോഗിക്കുക, എന്നാൽ alias-ലേക്ക് root-ലേക്ക് മാറ്റുക. ഇത് ഫയൽ പാത്ത് സെമാൻ്റിക്‌സിനെ മാറ്റിയേക്കാം, അത് ഓരോന്നായി പരിശോധിക്കേണ്ടതാണ്.

നിലവിലുള്ള കോൺഫിഗറേഷൻ തിരുത്തിയെഴുതാൻ ഇൻ്റർനെറ്റിലെ പൊതുവായ “സുരക്ഷിത റീറൈറ്റിംഗ് ടെംപ്ലേറ്റ്” നേരിട്ട് പകർത്തരുത്. വ്യത്യസ്‌ത location പ്രിഫിക്‌സുകളും റീറൈറ്റ് ടാർഗെറ്റുകളും തികച്ചും വ്യത്യസ്‌തമായ അർത്ഥങ്ങളുള്ള പാത വിഭജനത്തിന് കാരണമാകുന്നു. S5

5.3 `map`/Regex: ക്യാപ്‌ചർ വേരിയബിൾ സ്റ്റേറ്റ് മിക്‌സിംഗ് കുറയ്ക്കുക

$1 പോലുള്ള അജ്ഞാത ക്യാപ്‌ചറുകൾ കാലക്രമേണ വ്യത്യസ്ത റീജക്‌സ് മൂല്യനിർണ്ണയ പാതകളിൽ പുനരുപയോഗിക്കാൻ അനുവദിക്കുന്നതിനുപകരം, പേരുള്ള ക്യാപ്‌ചറുകൾക്ക് മുൻഗണന നൽകാനും അവയുടെ പ്രചരണ വ്യാപ്തി പരിമിതപ്പെടുത്താനും ശുപാർശ ചെയ്യുന്നു. ഉദാഹരണത്തിന്:

# 演示具名捕获的结构，实际变量名和匹配表达式须按业务调整
map $host $tenant_root {
    default /srv/www/default;
    ~^(?<tenant>[a-z0-9-]+)\.example\.net$ /srv/www/$tenant;
}

ഈ സ്‌നിപ്പെറ്റ് വേരിയബിൾ ഉടമസ്ഥതയുടെ എളുപ്പത്തിലുള്ള ഓഡിറ്റ് ഘടനയെ മാത്രമേ കാണിക്കൂ; എല്ലാ CVE-2026-93479 ട്രിഗർ പാതകളും സ്വതന്ത്രമായി ഇല്ലാതാക്കുമെന്ന് തെളിയിക്കപ്പെട്ടു എന്നല്ല അർത്ഥമാക്കുന്നത്. പ്രത്യേകിച്ചും, മറ്റ് root അല്ലെങ്കിൽ log_format ക്യാപ്‌ചർ വേരിയബിളുകൾ സമയത്തിന് മുമ്പായി പരാമർശിച്ചിട്ടുണ്ടോ, കൂടാതെ volatile, ഡൈനാമിക് പാത്തുകൾ, പരസ്പരാശ്രിത മൂല്യനിർണ്ണയ ശൃംഖലകൾ എന്നിവ ഉണ്ടോ എന്ന് അവലോകനം ചെയ്യുക. F5/CERT ഒരു ഹ്രസ്വകാല ആശ്വാസമെന്ന നിലയിൽ പേരുള്ള ക്യാപ്‌ചർ ഉപയോഗിക്കാനും അനുബന്ധ പതിവ് പൊരുത്തപ്പെടുത്തൽ കോൺഫിഗറേഷനിലേക്ക് ഉപയോഗത്തിൻ്റെ വ്യാപ്തി പരിമിതപ്പെടുത്താനും ശുപാർശ ചെയ്യുന്നു. S3 S6

5.4 AIO + SSI: അനാവശ്യ ഫംഗ്‌ഷൻ കോമ്പിനേഷനുകൾ ഷട്ട് ഡൗൺ ചെയ്യുക

SSI അല്ലെങ്കിൽ അസിൻക്രണസ് ഫയൽ I/O ആവശ്യമില്ലാത്ത സെർവറുകൾ/പാതുകൾക്കായി, ഉപയോഗിക്കുക:

# 在适当的 http/server/location 上下文中配置
ssi off;
aio off;

അപകടസാധ്യത ട്രിഗർ ചെയ്യുന്ന അവസ്ഥകളുടെ വീക്ഷണകോണിൽ, വിവരിച്ച നിർദ്ദിഷ്ട ശൃംഖല നീക്കം ചെയ്യാൻ സാധാരണയായി രണ്ടിലൊന്ന് അടച്ചാൽ മതിയാകും; ബിസിനസ്സ് ഈ കഴിവിനെ ആശ്രയിക്കാത്ത സാഹചര്യങ്ങൾക്ക് മാത്രമേ ഒരേ സമയം ക്ലോസിംഗ് ബാധകമാകൂ. include virtual, സബ്‌റിക്വസ്റ്റുകൾ, കാഷെ, ത്രെഡ് പൂൾ സ്വഭാവം എന്നിവ പരിശോധിക്കുക; റിവേഴ്സ് പ്രോക്സി ലോഡ് കൂടുതലായിരിക്കുമ്പോൾ, AIO ഷട്ട്ഡൗൺ ചെയ്യുന്നത് ലേറ്റൻസിയും I/O പ്രകടനവും മാറ്റിയേക്കാം. S7

5.5 HTTP/3 ബോഡി ഇഞ്ചക്ഷൻ അഭ്യർത്ഥിക്കുക: ആവശ്യമെങ്കിൽ പ്രവേശന കവാടം താൽക്കാലികമായി അടയ്ക്കുക

പ്രവർത്തനരഹിതമാക്കുക quic ശ്രോതാവ് ഉൾപ്പെടുന്നു HTTP/3 , റദ്ദാക്കുക Alt-Svc പ്രഖ്യാപിക്കുന്ന പ്രതികരണ തലക്കെട്ട് HTTP/3 , എഡ്ജ് ലെയർ/ലോഡ് ബാലൻസർ ഇപ്പോഴും അയയ്ക്കുന്നുണ്ടോയെന്ന് പരിശോധിക്കുക QUIC നന്നാക്കാത്തവരോട് നേരിട്ട് അഭ്യർത്ഥിക്കുന്നു NGINX :

# 示意：保留 HTTPS/TCP；暂时移除此前的 QUIC/UDP listen
server {
    listen 443 ssl;  # 保留 HTTPS/TCP 入口
    # 对支持新版语法的构建，可在此使用 http2 on;
    # 删除原有的 listen 443 quic reuseport;
    # 删除原有的 add_header Alt-Svc ...;（仅限宣传 h3 的那项）
    # 其余证书、server_name、location 等配置保持不变
}

മുകളിൽ പറഞ്ഞിരിക്കുന്നത് മാറ്റ വ്യത്യാസത്തിൻ്റെ ഒരു വിവരണം മാത്രമാണ്, വ്യക്തിഗതമായി പ്രവർത്തനക്ഷമമാക്കാൻ കഴിയുന്ന പൂർണ്ണമായ സെർവർ കോൺഫിഗറേഷനല്ല. HTTP/2-ൻ്റെ ക്രമീകരണ വാക്യഘടന NGINX പതിപ്പുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു; നിങ്ങൾക്ക് HTTP/2 നിലനിർത്തണമെങ്കിൽ, നിങ്ങൾ http2 on; അല്ലെങ്കിൽ അനുബന്ധ പതിപ്പ് അനുസരിച്ച് നിലവിലുള്ള സാധുവായ വാക്യഘടന ഉപയോഗിക്കണം, കൂടാതെ nginx -t പരിശോധിക്കുക. വിന്യസിക്കുന്നതിന് മുമ്പ് നിലവിലുള്ള സെർവർ കോൺഫിഗറേഷനുമായി ലയിപ്പിക്കണം, പകരം മുഴുവൻ വിഭാഗവും ഈ വിഭാഗം ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നതിന് പകരം. UDP 443 ഫയർവാൾ, HTTP/3 ടെർമിനേഷൻ ലൊക്കേഷൻ, CDN/ഫ്രണ്ട് പ്രോക്സിയുടെ ക്ലയൻ്റ് ഫാൾബാക്ക് പാത്ത് എന്നിവയും പരിശോധിക്കുന്നു.

മറ്റൊരു തരം ഹ്രസ്വകാല ലഘൂകരണം, ബാധിത പ്രോക്സി പാതയിൽ proxy_request_buffering off; ഉപയോഗിക്കുന്നതാണ്, എന്നാൽ ഇത് അപ്‌സ്ട്രീം അഭ്യർത്ഥന ബോഡി സ്ട്രീമിംഗ്, പരാജയം വീണ്ടും ശ്രമിക്കൽ, ചില അപ്‌ലോഡ് വർക്ക്ഫ്ലോകൾ എന്നിവയുടെ സ്വഭാവത്തെ മാറ്റും; മതിയായ പരിശോധനയ്ക്കും നിർദ്ദേശം ബാധിച്ച HTTP/3 പ്രോക്‌സി പാതയിലാണോ എന്ന് സ്ഥിരീകരണത്തിനും ശേഷം മാത്രമേ ഉപയോഗിക്കാവൂ. S8 S18

5.6 TLS സെഷൻ ടിക്കറ്റ്: മുൻഗണന സംരക്ഷണം mTLS പ്രാമാണീകരണ അതിർത്തി

അപ്‌ഗ്രേഡിംഗ് സാധ്യമല്ലെങ്കിൽ, ഉദാഹരണം പങ്കിട്ട സെഷൻ കാഷെ + ഓട്ടോമാറ്റിക് ടിക്കറ്റ് കീ റൊട്ടേഷനെ ആശ്രയിക്കുന്നുവെങ്കിൽ, വിലയിരുത്തുക:

# 在 nginx http/server 适当作用域进行配置
ssl_session_tickets off;

ഇതിന് TLS സെഷൻ ടിക്കറ്റ് മെക്കാനിസം ഓഫാക്കാനാകും, അതുവഴി ഈ അപകടസാധ്യതയിൽ വിവരിച്ചിരിക്കുന്ന ടിക്കറ്റ് വ്യാജരേഖ നീക്കം ചെയ്യാം; എന്നിരുന്നാലും, ഇത് സെഷൻ പുനരാരംഭിക്കുന്ന പ്രകടനത്തെ ബാധിച്ചേക്കാം. “കേടുപാടുകൾ ഒഴിവാക്കുന്നതിന്” നിങ്ങൾക്ക് mTLS ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് സ്ഥിരീകരണം ഓഫാക്കാൻ കഴിയില്ല, കാരണം അത് യഥാർത്ഥ പ്രാമാണീകരണ അതിർത്തി നേരിട്ട് ഇല്ലാതാക്കും. S9 S12

വ്യക്തമായ ssl_session_ticket_key ഫയലുകളും സുരക്ഷിതമായ റൊട്ടേഷനും പ്രൊഫഷണൽ TLS മാനേജ്‌മെൻ്റ് പ്രക്രിയകൾക്ക് സ്വയമേവ ജനറേറ്റ് ചെയ്യുന്ന അവസ്ഥകളെ മറികടക്കാൻ ഉപയോഗിക്കാവുന്നതാണ്, എന്നാൽ കീ കസ്റ്റഡി, പൂർണ്ണ നോഡ് വിതരണം, റൊട്ടേഷൻ, പഴയ ടിക്കറ്റ് ലൈഫ് സൈക്കിളുകൾ എന്നിവയെല്ലാം ശ്രദ്ധാപൂർവ്വം ഓഡിറ്റ് ചെയ്യേണ്ടതുണ്ട്. സാധാരണ വെബ് കോൺഫിഗറേഷനിലോ സ്‌ക്രിപ്റ്റുകളിലോ താൽക്കാലിക അടിയന്തര സാഹചര്യങ്ങൾക്കായി ദീർഘകാല പുനരുപയോഗിക്കാവുന്ന കീ ഹാർഡ്‌കോഡ് ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നില്ല. mTLS ഉപയോഗിക്കുന്ന നിർണ്ണായക സേവനങ്ങൾ TLS സെഷൻ പുനരാരംഭിക്കുന്നതിനുള്ള പെരുമാറ്റവും സാധുവായ ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് ഇല്ലാതെ അഭ്യർത്ഥനകൾ നിരസിക്കുന്നതും നിരീക്ഷിക്കേണ്ടതാണ്. S12

5.7 ഓപ്പറേറ്റിംഗ് സിസ്റ്റത്തിൻ്റെയും അതിർത്തി സംരക്ഷണത്തിൻ്റെയും പങ്ക്

# Linux：常见值 2 表示进程地址空间随机化处于完整启用状态
sysctl kernel.randomize_va_space

ASLR, നോൺ-root തൊഴിലാളികൾ, റീഡ്-ഒൺലി കണ്ടെയ്‌നർ ഫയൽ സിസ്റ്റങ്ങൾ, കുറഞ്ഞ ഫയൽ അനുമതികൾ, നെറ്റ്‌വർക്ക് ഐസൊലേഷൻ എന്നിവ സാധ്യമായ RCE-ൻ്റെ ആഘാതം കുറയ്ക്കും. ASLR ഹീപ്പ് ഓവർഫ്ലോകൾ അല്ലെങ്കിൽ UAF പരിഹരിക്കുന്നില്ല, മാത്രമല്ല തൊഴിലാളികൾ ക്രാഷ് ചെയ്യില്ലെന്ന് ഉറപ്പുനൽകാൻ കഴിയില്ല. WAF, നിരക്ക് പരിധികളും അഭ്യർത്ഥന ബോഡി വലുപ്പ പരിധികളും TLS ടിക്കറ്റ് കീ സിൻക്രൊണൈസേഷൻ പരിഹരിക്കുന്നില്ല. S4

5.8 പൊതുവായ തെറ്റിദ്ധാരണ: റിപ്പയർ പൂർത്തിയാക്കാൻ ഈ പ്രവർത്തനങ്ങൾ പര്യാപ്തമല്ല

സാധാരണ പ്രവർത്തനങ്ങൾ	എന്തുകൊണ്ട് അത് അപര്യാപ്തമാണ്?
“nginx -v താരതമ്യേന പുതിയതായി തോന്നുന്നു”	ഇത് ഏത് ശാഖയിൽ ഉൾപ്പെട്ടിരിക്കുന്നു, റിലീസ് പതിപ്പിൻ്റെ പൂർണ്ണമായ ബാക്ക്‌പോർട്ടഡ് പാക്കേജ് പതിപ്പും ഓൺലൈൻ പ്രക്രിയയും പരിശോധിച്ചിട്ടില്ല.
”ഇൻട്രാനെറ്റുകളിൽ ഒന്ന് മാത്രമാണ് നവീകരിച്ചത്”	പഴയ Worker/പഴയ കണ്ടെയ്‌നർ/പഴയ CDN ഉത്ഭവ സംഭവത്തിന് ഇപ്പോഴും അഭ്യർത്ഥനകൾ ലഭിക്കുന്നു
”സൈറ്റ് PHP/ഡൈനാമിക് ടാഗുകൾ ഉപയോഗിക്കുന്നില്ല”	NGINX കോർ പാതയിലോ പ്രോട്ടോക്കോൾ പാഴ്സിംഗിലോ ആണ് ഈ തകരാറ് സംഭവിക്കുന്നത്, അത് PHP എക്സിക്യൂഷനെ ആശ്രയിക്കുന്നില്ല.
”WAF/Cloudflare തുറന്നാൽ മതി”	WAF എല്ലാ NGINX കോൺഫിഗറേഷൻ-ആശ്രിത മെമ്മറി കുറവുകളും അല്ലെങ്കിൽ TLS പുനരാരംഭിക്കുന്ന പിഴവുകളും തടയുമെന്ന് തെളിയിക്കാൻ കഴിയില്ല
”ഇതിനകം തുറന്നിരിക്കുന്നു ASLR”	ബുദ്ധിമുട്ട് ലഘൂകരണം പ്രയോജനപ്പെടുത്തുക; DoS അഭ്യർത്ഥന കുത്തിവയ്പ്പ് ഇപ്പോഴും സാധ്യമാണ്
”HTTP/3 പൊതു നെറ്റ്‌വർക്കിലേക്ക് തുറന്നിട്ടില്ല, അതിനാൽ അപ്‌ഗ്രേഡ് ചെയ്യേണ്ട ആവശ്യമില്ല”	മറ്റ് നാല് CVE-കൾക്ക് ഇപ്പോഴും സ്വതന്ത്രമായ വിലയിരുത്തൽ ആവശ്യമാണ്; കൂടാതെ മറഞ്ഞിരിക്കുന്ന ഉത്ഭവങ്ങളുമായി നേരിട്ട് ബന്ധമുണ്ടാകാം
”ജൂലൈയിലെ `map` അപകടസാധ്യത പരിഹരിച്ചു”	ഒക്ടോബർ CVE-2026-93479-ൽ തുടർന്നുള്ള സ്‌ക്രിപ്റ്റ് മൂല്യനിർണ്ണയ റിഗ്രഷൻ പ്രശ്‌നങ്ങൾ ഉൾപ്പെടുന്നു
”കാഷിംഗ് പ്രവർത്തനരഹിതമാക്കുന്നത് എല്ലാ പ്രശ്നങ്ങളും പരിഹരിക്കുന്നു”	ചില TLS കാഷെ അല്ലെങ്കിൽ AIO സാഹചര്യങ്ങളെ മാത്രമേ ബാധിക്കുകയുള്ളൂ, കൂടാതെ അപരനാമം, സ്ക്രിപ്റ്റ്, HTTP/3 എന്നിവ ഉൾക്കൊള്ളുന്നില്ല

6. ഔദ്യോഗിക പാച്ച് നടപ്പിലാക്കൽ ആശയങ്ങളും അവലോകന പോയിൻ്റുകളും

ഈ വിഭാഗം 2026 ഒക്ടോബറിലെ അപ്‌സ്ട്രീം NGINX പരിഹാരങ്ങൾ പിന്തുടരുന്നു. പാച്ച് അവലോകനത്തിനായുള്ള പ്രാതിനിധ്യ മാറ്റങ്ങൾ സ്നിപ്പെറ്റുകൾ ചിത്രീകരിക്കുന്നു; അവ പൂർണ്ണമല്ല, സ്വതന്ത്രമായി സമാഹരിക്കാവുന്ന പരിഹാരങ്ങളല്ല. ഇഷ്‌ടാനുസൃത ബിൽഡുകൾക്കായി, പൂർണ്ണ കമ്മിറ്റുകളും ചുറ്റുമുള്ള കോഡുകളും ടെസ്റ്റുകളും അവലോകനം ചെയ്യുക, കൂടാതെ പൂർണ്ണ പിന്തുണയുള്ള റിലീസിന് മുൻഗണന നൽകുക. S5 S6 S7 S8 S9

6.1 CVE-2026-15176: `alias` പാത്ത് മാപ്പിംഗ് നിരസിക്കൽ വ്യവസ്ഥകൾ ഉൾപ്പെടുത്തുന്നതിനായി URI മാറ്റിയെഴുതി

src/http/ngx_http_core_module.c-ൽ അപ്‌സ്ട്രീം കമ്മിറ്റ് പരിഷ്കരിച്ച ngx_http_map_uri_to_path():

- if (alias && !r->valid_location) {
+ if (alias && (!r->valid_location || r->uri_changed)) {

അവലോകന ഫോക്കസ്: URI മാറുമ്പോൾ ഫയൽ സിസ്റ്റം പാത്ത് കണക്കാക്കുന്നത് തുടരാൻ കഴിയില്ല, എന്നാൽ alias-ൻ്റെ അനുബന്ധ ലൊക്കേഷൻ സെമാൻ്റിക്‌സ് ഇനി വിശ്വസനീയമല്ല. ഇത് സംസ്ഥാനത്തിന് മുമ്പുള്ള നിയന്ത്രണത്തിൻ്റെ ഒരു മെച്ചപ്പെടുത്തലാണ്. URI അഭ്യർത്ഥനയിൽ നിയമവിരുദ്ധമായ പ്രതീകങ്ങൾ അടങ്ങിയിട്ടുണ്ടോ എന്നത് ലളിതമായ ഒരു പരിശോധനയല്ല. S5

6.2 CVE-2026-93479: ഔട്ട്‌പുട്ട് ഡാറ്റ ദൈർഘ്യവും റിസർവ് ചെയ്ത ദൈർഘ്യവും തമ്മിൽ ശരിയായി വേർതിരിക്കുക

അപ്‌സ്ട്രീം കമ്മിറ്റ് ഒരേ സമയം src/http/ngx_http_script.c, src/stream/ngx_stream_script.c അപ്‌ഡേറ്റുകൾ. പ്രധാന ഉദ്ദേശ്യം ഇങ്ങനെ സംഗ്രഹിക്കാം:

- n = len;
+ n = 0;
  /* ...计算实际脚本输出长度... */
- value->len = n;
- value->data = ngx_pnalloc(pool, n);
+ value->len = n + len;
+ value->data = ngx_pnalloc(pool, n + len);

ഇവിടെ, pool എന്നത് ഒരു ചിത്രീകരണ പാരാമീറ്റർ നാമമാണ്: യഥാർത്ഥ HTTP, Stream അലോക്കേഷൻ എക്സ്പ്രഷനുകൾ വ്യത്യാസപ്പെട്ടിരിക്കുന്നു. മാറ്റം ആദ്യം സ്‌ക്രിപ്റ്റ് ഔട്ട്‌പുട്ട് ദൈർഘ്യം കണക്കാക്കുന്നു, തുടർന്ന് അന്തിമ അലോക്കേഷനിലേക്ക് റിസർവ് ചെയ്‌ത നീളം ചേർക്കുന്നു, അതിനാൽ ഔട്ട്‌പുട്ട് റിസർവ് ചെയ്‌ത സ്ഥലത്തെ പുനരാലേഖനം ചെയ്യുന്നില്ല. S6

ഓഡിറ്റിംഗും ബാക്ക്‌പോർട്ടിംഗും ചെയ്യുമ്പോൾ, HTTP/Stream-ൻ്റെ അനുബന്ധ മൂല്യനിർണ്ണയക്കാരനും പരിരക്ഷിച്ചിരിക്കണം; map-ൻ്റെ കോൺഫിഗറേഷൻ സിൻ്റാക്സ് ഫയൽ പരിശോധിച്ചാൽ മാത്രം തകരാർ പരിഹരിച്ചതായി തെളിയിക്കാൻ കഴിയില്ല.

6.3 CVE-2026-97205: 8-ബിറ്റ് അസിൻക്രണസ് ഓപ്പറേഷൻ കൗണ്ടിനായി സുരക്ഷാ പരിധി സജ്ജമാക്കുക

src/http/ngx_http_request.h-ൽ അപ്‌സ്ട്രീം ചേർത്തു:

#define NGX_HTTP_MAX_BLOCKED 250

അസിൻക്രണസ് ഫയൽ റീഡിംഗ്, കാഷെ വെയിറ്റിംഗ്, ഔട്ട്പുട്ട് ഫിൽട്ടറിംഗ്, ത്രെഡ് ഓപ്പറേഷൻ എന്നിവയിലേക്ക് സമാനമായ എൻട്രികൾ ചേർക്കുക:

if (r->main->blocked >= NGX_HTTP_MAX_BLOCKED) {
    /* 使用同步路径，或者拒绝新的异步操作 */
}

അവലോകന ഫോക്കസ്: r->main->blocked ചേർക്കുന്ന എല്ലാ യഥാർത്ഥ കോഡ് പാതകളും കവർ ചെയ്തിരിക്കണം. ഹെഡ്ഡർ ഫയലിൽ നിങ്ങൾക്ക് ത്രെഷോൾഡ് കോൺസ്റ്റൻ്റ് എഴുതാൻ കഴിയില്ല. ടാസ്‌ക്കുകൾ നേരിട്ട് നിരസിക്കുന്നതിലൂടെ ഡെഡ്‌ലോക്ക് അല്ലെങ്കിൽ റഫറൻസ് ചോർച്ച ഉണ്ടാകില്ലെന്ന് ഉറപ്പാക്കാൻ ബാക്ക്‌പോർട്ടിന് സിൻക്രണസ് ഫാൾബാക്ക്, എസിൻക്രണസ് കോൾബാക്ക്, എറർ റിട്ടേൺ എന്നിവയുടെ പൂർണ്ണമായ ഏകോപനം പരിശോധിക്കേണ്ടതുണ്ട്. S7

6.4 CVE-2026-95101: അജ്ഞാത ഫ്രെയിമുകൾക്കായി പ്രത്യേകം `skip` നില നിലനിർത്തുക

HTTP/3 പാഴ്‌സർ സ്റ്റാറ്റസ് ഘടനയിൽ അപ്‌സ്ട്രീം skip ഫീൽഡ് ചേർക്കുകയും സ്റ്റാറ്റസ് വേർതിരിക്കൽ നടത്തുകയും ചെയ്യുന്നു:

if (st->type != NGX_HTTP_V3_FRAME_DATA && st->length > 0) {
    st->skip = st->length;
    st->length = 0;
    st->state = sw_skip;
}
/* ... */
rc = ngx_http_v3_parse_skip(b, &st->skip);

“അജ്ഞാതമായ HTTP/3 ഫ്രെയിമുകൾ പ്രവർത്തനരഹിതമാക്കുക” എന്നതല്ല പ്രധാന കാര്യം, എന്നാൽ ഒന്നിലധികം റീഡുകളിലുടനീളം, ഒഴിവാക്കിയ ബൈറ്റ് കൗണ്ടും DATA പേലോഡ് ദൈർഘ്യവും എല്ലായ്പ്പോഴും സ്വതന്ത്ര സംസ്ഥാനങ്ങൾ നിയന്ത്രിക്കുന്നു. അവലോകനങ്ങൾ അജ്ഞാത ഫ്രെയിം ക്രോസ്-ബഫർ ഷാർഡിംഗിലും client_max_body_size-ൻ്റെ അന്തിമ സ്ഥിരതയിലും ശ്രദ്ധ കേന്ദ്രീകരിക്കണം. S8

6.5 CVE-2026-97629: പൂർണ്ണമായ TLS കീ സ്ലോട്ട് അറേ സമന്വയിപ്പിക്കുക

അപ്‌സ്ട്രീം മാറ്റങ്ങൾ src/event/ngx_event_openssl.c-ൽ സ്ഥിതി ചെയ്യുന്നു:

  ngx_memcpy(keys->elts, cache->ticket_keys,
-            2 * sizeof(ngx_ssl_ticket_key_t));
+            keys->nelts * sizeof(ngx_ssl_ticket_key_t));

യഥാർത്ഥ ചിത്രത്തിൽ മൂന്ന് കീ സ്ലോട്ടുകൾ അടങ്ങിയിരുന്നു, എന്നാൽ ആദ്യ രണ്ടെണ്ണം മാത്രമാണ് പകർത്തിയത്. പകരം, Worker-ൻ്റെ വോട്ടിംഗ് കീ സെറ്റ് പങ്കിട്ട മെമ്മറിയുമായി പൊരുത്തപ്പെടുന്നുണ്ടെന്ന് ഉറപ്പാക്കാൻ അറേ ഘടകങ്ങളുടെ യഥാർത്ഥ എണ്ണത്തെ അടിസ്ഥാനമാക്കി സമന്വയിപ്പിക്കുക. അവലോകനം ചെയ്യുമ്പോൾ, memcpy ദൈർഘ്യം പരിഷ്‌ക്കരണം ഒരിക്കൽ മാത്രം പരിശോധിക്കുന്നതിനുപകരം, അറേ അലോക്കേഷൻ, ഇനീഷ്യലൈസേഷൻ, പങ്കിട്ട ലോക്ക്, റൊട്ടേഷൻ ലോജിക് എന്നിവ സ്ഥിരതയുള്ളതാണെന്ന് സ്ഥിരീകരിക്കുക. S9

6.6 ചിതറിയ പാച്ച് ശകലങ്ങൾ മാത്രം പ്രയോഗിക്കാൻ ശുപാർശ ചെയ്യാത്തത് എന്തുകൊണ്ട്?

ഈ അഞ്ച് പരിഷ്‌ക്കരണങ്ങൾ യഥാക്രമം src/http, src/stream, src/http/v3, src/event എന്നിവയിൽ വ്യാപിച്ചിരിക്കുന്നു, കൂടാതെ പഴയ പതിപ്പുകൾക്ക് സുരക്ഷാ ബാക്ക്‌പോർട്ടുകളും അനൗദ്യോഗിക വിപുലീകരണങ്ങളും ഉണ്ടായിരിക്കാം. ബാക്ക്‌പോർട്ടിംഗ് ഇനിപ്പറയുന്ന ചെക്ക് മാട്രിക്‌സ് രൂപപ്പെടുത്തണം:

വസ്തു പരിശോധിക്കുക	എന്താണ് സ്ഥിരീകരിക്കേണ്ടത്
പാച്ച് ഉറവിടം	ഔദ്യോഗിക സമർപ്പണം, പൊരുത്തപ്പെടുന്ന ടാർഗെറ്റ് പതിപ്പ്, പൂർണ്ണമായ പാച്ചും ഒപ്പ് പരിശോധനയും
യഥാർത്ഥ പാച്ച് സെറ്റ്	CVE-2026-42533, വിതരണ ബാക്ക്‌പോർട്ട് മുതലായവ പോലുള്ള ചരിത്രപരമായ പരിഷ്‌ക്കരണങ്ങളുമായി വൈരുദ്ധ്യമില്ല.
കോഡ് പാത	HTTP + Stream സ്‌ക്രിപ്‌റ്റ്, AIO/ത്രെഡ്, HTTP/3, OpenSSL ടിക്കറ്റ് എല്ലാം പരിരക്ഷിച്ചിരിക്കുന്നു
കംപൈൽ ചെയ്ത അനുയോജ്യം	OpenSSL, PCRE, മൊഡ്യൂൾ എബിഐ, ഡൈനാമിക് മൊഡ്യൂൾ, ലിങ്ക് ഡിപൻഡൻസികൾ എന്നിവ സ്ഥിരമാണ്
ഫങ്ഷണൽ റിഗ്രഷൻ	`alias` റീറൈറ്റ്, ഡൈനാമിക് ലോഗ്, SSI/AIO, HTTP/3 അപ്‌ലോഡ്, mTLS സെഷൻ പുനരാരംഭിക്കൽ
റൺടൈം	എല്ലാ Worker/Pod-കളും പുതിയ പരിശോധിച്ചുറപ്പിച്ച ബിൽഡുകൾ പ്രവർത്തിപ്പിക്കുന്നു, ലെഗസി ഇമേജുകളൊന്നും അവശേഷിക്കുന്നില്ല

സ്വന്തം റിലീസുകൾ പരിപാലിക്കുന്ന ടീമുകൾക്കായി, ഓരോ CVE-യ്ക്കും ഓഡിറ്റബിൾ പാച്ച് ഐഡികൾ, പാക്കേജ് പതിപ്പുകൾ, ബിൽഡ് ലോഗുകൾ, റിഗ്രഷൻ റിപ്പോർട്ടുകൾ എന്നിവ സൂക്ഷിക്കാൻ ശുപാർശ ചെയ്യുന്നു; സാധാരണ പ്രവർത്തനത്തിനും അറ്റകുറ്റപ്പണികൾക്കും, വെണ്ടറുടെ പൂർണ്ണമായ സുരക്ഷാ അപ്‌ഡേറ്റുകൾ ഇൻസ്റ്റാൾ ചെയ്യുക എന്നതാണ് ഏറ്റവും സുരക്ഷിതമായ പരിഹാരം.

7. ചരിത്രപരമായ ദുർബലത ബാക്ക്ട്രാക്കിംഗ്, പഴയ ശാഖകളും മറ്റ് ഉൽപ്പന്നങ്ങളും

7.1 NGINX കോർ ദുർബലത 2026 മെയ് മുതൽ സെപ്റ്റംബർ വരെ ഒരേസമയം സ്ഥിരീകരണത്തിന് യോഗ്യമാണ്

വളരെക്കാലമായി അപ്‌ഡേറ്റ് ചെയ്യാത്ത നിരവധി NGINX സംഭവങ്ങൾ ഒക്ടോബറിലെ പുതിയ ലക്കം മാത്രമല്ല ബാധിക്കുക. സമീപഭാവിയിൽ ഇനിപ്പറയുന്നവയാണ് പ്രതിനിധി റിപ്പയർ നോഡുകൾ: S1 S2

സി.വി.ഇ	ആദ്യ ഫിക്സ് റിലീസ്	ഓഡിറ്റ് ആവശ്യമായ പ്രധാന അപകടസാധ്യതകളും വ്യവസ്ഥകളും
CVE-2026-42945	Stable 1.30.1 / Mainline 1.31.0, മെയ് 13	`rewrite` അജ്ഞാത റീജക്സ് ക്യാപ്‌ചറും റീപ്ലേസ്‌മെൻ്റ് ലോജിക്കും ഹീപ്പ് ഓവർഫ്ലോ ട്രിഗർ ചെയ്യുന്നു, സാധ്യതയുള്ള RCE; കാട്ടിനുള്ളിൽ ആക്രമണ ശ്രമങ്ങൾ നടന്നതായി പൊതു റിപ്പോർട്ടുകൾ ഉണ്ട്
CVE-2026-9256	Stable 1.30.2 / Mainline 1.31.1, മെയ് 22	`rewrite`-ലെ ഓവർലാപ്പിംഗ് റീജക്‌സ് ക്യാപ്‌ചറും നീളം കണക്കാക്കലും ഓവർഫ്ലോയിലേക്ക് നയിക്കുന്നു
CVE-2026-42055	Stable 1.30.3 / Mainline 1.31.2, ജൂൺ 17	HTTP/2 അപ്‌സ്ട്രീം അല്ലെങ്കിൽ gRPC-യിലേക്കുള്ള പ്രത്യേക കോൺഫിഗറേഷൻ, വലിയ അഭ്യർത്ഥന തലക്കെട്ട് അവസ്ഥ ബഫർ ഓവർഫ്ലോ ട്രിഗർ ചെയ്യുന്നു
CVE-2026-42530	Mainline 1.31.2, ജൂൺ 17	HTTP/3 ഉപയോഗത്തിന് ശേഷം സൗജന്യം; ഔദ്യോഗിക അടയാളം ബാധിച്ച ശ്രേണി `1.31.0–1.31.1`
CVE-2026-42533	Stable 1.30.4 / Mainline 1.31.3, ജൂലൈ 15	`map` + regex ക്യാപ്‌ചർ വേരിയബിൾ മൂല്യനിർണ്ണയം ഹീപ്പ് ഓവർഫ്ലോക്ക് കാരണമാകുന്നു, തുടർന്നുള്ള പാച്ചുകൾക്ക് ഒക്ടോബറിൽ CVE-2026-93479-മായി റിഗ്രഷൻ കോറിലേഷൻ ഉണ്ട്.
CVE-2026-60005	Stable 1.30.4 / Mainline 1.31.3, ജൂലൈ 15	`ngx_http_slice_module` പ്രത്യേക വേരിയബിൾ, കാഷെ അപ്‌ഡേറ്റ് വ്യവസ്ഥകൾക്ക് കീഴിൽ മെമ്മറി ഉള്ളടക്കം ചോർന്നു
CVE-2026-56434	Stable 1.30.4 / Mainline 1.31.3, ജൂലൈ 15	SSI UAF എന്നതുമായി ബന്ധപ്പെട്ടിരിക്കുന്നു; ഒക്ടോബറിലെ AIO കൗണ്ടിംഗ് അപകടസാധ്യതയുടെ അതേ root കാരണമല്ല
CVE-2026-90439	Stable 1.30.5 / Mainline 1.31.6, സെപ്റ്റംബർ 15	HTTP/3 + നിർദ്ദിഷ്ട OpenSSL പതിപ്പ് കോമ്പിനേഷൻ്റെ പരിമിതമായ ഹീപ്പ് ഓവർഫ്ലോ, പ്രധാനമായും ക്രാഷ്/ലിമിറ്റഡ് മെമ്മറി അഴിമതിയായി പ്രകടമാണ്

2026-ൽ പ്രഖ്യാപിച്ച NGINX കോർ, HTTP/2, ചാർസെറ്റ്, SMTP എന്നിവ പോലുള്ള മറ്റ് കേടുപാടുകൾ ഔദ്യോഗിക സുരക്ഷാ ബുള്ളറ്റിനുകൾ അനുസരിച്ച് അന്വേഷിക്കണം; നിലവിലെ NGINX പബ്ലിക് ഫേസിംഗ് റിവേഴ്സ് പ്രോക്സി വിന്യാസങ്ങൾക്ക് ഏറ്റവും പ്രസക്തമായതും മെമ്മറി സുരക്ഷയോ അഭ്യർത്ഥന സമഗ്രതയുണ്ടാക്കുന്നതോ ആയ സാധാരണ ഇവൻ്റുകളിൽ ഈ പട്ടിക മനഃപൂർവ്വം ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്നു. 2026-ൽ എല്ലാ CVE-കളും അല്ല. ലിസ്റ്റ്. S1

എന്തുകൊണ്ട് CVE-2026-42945-ൽ പ്രത്യേകം ശ്രദ്ധിക്കണം

മെയ് മാസത്തിലെ ഈ rewrite അപകടസാധ്യതയ്ക്കായി ഇൻ-ദി-വൈൽഡ് ചൂഷണ പ്രവർത്തനങ്ങളും പൊതു ചൂഷണ കോഡ് വിവരങ്ങളും രേഖപ്പെടുത്തുന്ന സർക്കാർ ഏജൻസികളിൽ നിന്നുള്ള സുരക്ഷാ ബുള്ളറ്റിനുകൾ ഉണ്ട്. അതിനാൽ, മെയ് മുതൽ ഇന്നുവരെ വളരെക്കാലമായി പാച്ച് ചെയ്യപ്പെടാത്തതും പൊതു നെറ്റ്‌വർക്കിൽ തുറന്ന കോംപ്ലക്സ് റെഗുലർ എക്സ്പ്രഷൻ റീറൈറ്റുകളുള്ളതുമായ സന്ദർഭങ്ങളിൽ, അറ്റകുറ്റപ്പണി പൂർത്തിയാക്കുന്നതിന് പുറമേ, അസാധാരണമായ Worker ക്രാഷ്, ആക്സസ് ലോഗുകൾ, ആ സമയത്തെ സംശയാസ്പദമായ മാറ്റങ്ങൾ എന്നിവ അധികമായി അവലോകനം ചെയ്യണം. S23

“ഒരു ആക്രമണശ്രമം സംഭവിച്ചു” എന്നത് ആക്രമണകാരി എല്ലാ ലക്ഷ്യത്തിലും കമാൻഡുകൾ വിശ്വസനീയമായി നടപ്പിലാക്കിയിട്ടുണ്ടെന്ന് സ്വയമേവ തെളിയിക്കുന്നില്ല; സംഭവത്തിൻ്റെ പ്രതികരണം ഉൾപ്പെടുമ്പോൾ, വിട്ടുവീഴ്ച സൂചകങ്ങളും പ്രോസസ്സ് ക്രാഷുകളും പ്രത്യേകാവകാശ വർദ്ധനവിൻ്റെയോ സ്ഥിരോത്സാഹത്തിൻ്റെയോ യഥാർത്ഥ തെളിവുകളിൽ നിന്ന് പ്രത്യേകം അന്വേഷിക്കണം.

7.2 പഴയ പതിപ്പുകൾക്കും വിതരണ ബാക്ക്‌പോർട്ടുകൾക്കുമുള്ള പരിഹാരം

NGINX വ്യത്യസ്‌ത ശാഖകൾക്ക് അവരുടേതായ സപ്പോർട്ട് സൈക്കിളുകളും വ്യത്യസ്‌ത അപകടസാധ്യതയുള്ള ആമുഖ സമയങ്ങളുമുണ്ട്. അഞ്ച് പുതിയ പാച്ചുകൾ അവലോകനം കൂടാതെ എല്ലാ ആദ്യകാല ഉറവിട മരങ്ങളിലേക്കും വ്യാപിപ്പിക്കാൻ കഴിയില്ല.

രംഗം	ശുപാർശ ചെയ്യുന്ന തന്ത്രം
റിലീസ് പതിപ്പ് പൂർണ്ണമായ സുരക്ഷാ പാച്ചുകൾ പ്രഖ്യാപിച്ചു	വെണ്ടർ പാക്കേജുകളും ഡോക്യുമെൻ്റ് പൂർണ്ണ പാക്കേജ് പതിപ്പുകളും ഉപയോഗിക്കുക; പൊരുത്തപ്പെടാത്ത അപ്‌സ്ട്രീം ബെയർ ബൈനറികൾ ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കുന്നത് ഒഴിവാക്കുക
Debian 12 ഉം ഈ ബാച്ചിലെ എല്ലാ CVE-കളും ഇതുവരെ പരിരക്ഷിച്ചിട്ടില്ലാത്ത മറ്റ് ബാധിത റിലീസുകളും	റിസ്ക് വർക്ക് ഓർഡറുകൾ സമർപ്പിക്കുക, ബാഹ്യ എക്സ്പോഷർ പരിമിതപ്പെടുത്തുക, വിതരണക്കാരൻ/ELTS നില പരിശോധിക്കുക; ആവശ്യമുള്ളപ്പോൾ മൈഗ്രേറ്റ് ചെയ്യുക അല്ലെങ്കിൽ പരിശോധിക്കാവുന്ന മെയിൻ്റനൻസ് റിലീസ് ചെയിൻ ഉപയോഗിക്കുക
അപ്‌സ്ട്രീം പിന്തുണ അവസാനിപ്പിച്ച ചരിത്ര ശാഖകൾ	പിന്തുണയ്‌ക്കുന്ന പതിപ്പുകളിലേക്കുള്ള മൈഗ്രേഷന് മുൻഗണന നൽകുക; ഹ്രസ്വകാല ബാക്ക്‌പോർട്ടിംഗ് ആവശ്യമാണെങ്കിൽ, പരിപാലകർ ഡിപൻഡൻസികളും പാച്ച് അനുയോജ്യതയും വിലയിരുത്തുകയും പൂർണ്ണമായ ടെസ്റ്റുകൾ എഴുതുകയും ചെയ്യും.
NGINX ഫോർക്ക് (OpenResty, Tengine, ഇഷ്‌ടാനുസൃതമാക്കിയ ഗേറ്റ്‌വേ)	ആദ്യം അനുബന്ധ കോഡ് പാത്ത് ഉൾപ്പെടുത്തിയിട്ടുണ്ടോ എന്ന് നിർണ്ണയിക്കുക, തുടർന്ന് ഫോർക്ക് മെയിൻ്റനറുടെ സുരക്ഷാ പ്രസ്താവന ഉപയോഗിക്കുക. ഇത് അപ്‌സ്ട്രീം പതിപ്പിന് നേരിട്ട് തുല്യമാകാൻ കഴിയില്ല.
സുരക്ഷാ പാച്ചുകൾ ബിസിനസ്സ് പ്രവർത്തനത്തിൽ മാറ്റങ്ങളിലേക്ക് നയിക്കുന്നു	ഘട്ടം ഘട്ടമായുള്ള റോളൗട്ടുകൾ, പതിപ്പുകൾക്കിടയിൽ ട്രാഫിക്ക് മാറൽ, കോൺഫിഗറേഷൻ അഡാപ്റ്റേഷൻ എന്നിവ സ്വീകരിക്കുക; പൊതു ശൃംഖലയുടെ അൺഫിക്സ്ഡ് പതിപ്പ് ഒറ്റപ്പെടാതെ പുനഃസ്ഥാപിക്കുന്നത് ഉചിതമല്ല.

7.3 njs, പ്രവേശനം, NGINX കോർ എന്നിവയ്‌ക്കായി പ്രത്യേക പ്രതിവിധി

njs: NGINX പ്രധാന പ്രോഗ്രാമിന് പുറമേ, NGINX JavaScript മൊഡ്യൂളിൻ്റെ പതിപ്പും നിങ്ങൾ പരിശോധിക്കേണ്ടതുണ്ട്. njs 1.0.2, 2026 ഒക്‌ടോബറിലെ XML പാഴ്‌സിംഗ് മെമ്മറി ക്ഷീണവും എൻ്റിറ്റി റഫറൻസ് ആട്രിബ്യൂട്ടുകളുമായുള്ള XML മൂല്യനിർണ്ണയ പൊരുത്തക്കേടും പരിഹരിക്കുന്നു. nginx-saml ഉപയോഗിച്ചുള്ള XML സിഗ്നേച്ചർ സ്ഥിരീകരണവുമായി ബന്ധപ്പെട്ട വിന്യാസങ്ങൾക്കായി, പ്ലഗ്-ഇൻ സാഹചര്യങ്ങൾക്കായുള്ള ഔദ്യോഗിക njs നിർദ്ദേശങ്ങൾ നിങ്ങൾ കൂടുതൽ വായിക്കണം. S20
F5 NGINX Plus / NGINX ഇൻഗ്രെസ്സ് കൺട്രോളർ: പ്ലസ്, കൺട്രോളർ, ഗേറ്റ്‌വേ ഫാബ്രിക്ക് എന്നിവയിൽ ഓരോന്നിനും അധിക സുരക്ഷാ ബുള്ളറ്റിനുകളും വ്യത്യസ്ത പാക്കേജിംഗ് പതിപ്പുകളും അതുല്യമായ പോളിസി കേടുപാടുകളും ഉണ്ടായിരിക്കാം. ഒരു ലെയർ അപ്‌ഗ്രേഡ് ചെയ്യുക എന്നതിനർത്ഥം മറ്റൊരു ലെയർ സ്വയമേവ അപ്‌ഡേറ്റ് ചെയ്യുക എന്നല്ല. S19
Kubernetes കമ്മ്യൂണിറ്റി ingress-nginx: 2026 മാർച്ചിൽ കൺട്രോളർ അറ്റകുറ്റപ്പണി നിർത്തിയതായി Kubernetes ഉദ്യോഗസ്ഥർ ഇതിനകം പ്രഖ്യാപിച്ചിട്ടുണ്ട്, അതിൻ്റെ വെയർഹൗസ് F5 കൺട്രോളറുമായി ആശയക്കുഴപ്പത്തിലാക്കാൻ കഴിയില്ല. ബാധിക്കപ്പെട്ട ബിസിനസുകൾ സുഗമമായ മൈഗ്രേഷൻ ആസൂത്രണം ചെയ്യുകയും പുതിയ സുരക്ഷാ പതിപ്പിനായി കാത്തിരിക്കുന്നതിന് പകരം ഇൻഗ്രെസ്സ് വ്യാഖ്യാനങ്ങളും Gateway API സെമാൻ്റിക് വ്യത്യാസങ്ങളും പരിശോധിച്ചുറപ്പിക്കുകയും വേണം. S21

8. സ്വീകാര്യത മാനദണ്ഡങ്ങളും തുടർ പരിശോധനകളും

വർക്ക് ഓർഡറുകൾ മാറ്റുന്നതിനുള്ള സ്വീകാര്യത വ്യവസ്ഥകളായി ഇനിപ്പറയുന്ന ലിസ്റ്റ് ഉപയോഗിക്കാൻ ശുപാർശ ചെയ്യുന്നു:

പദ്ധതി	യോഗ്യതാ മാനദണ്ഡങ്ങൾ	നിലനിർത്താൻ കഴിയുന്ന തെളിവുകൾ
അസറ്റും പോർട്ടൽ കവറേജും	CDN-നെ മറികടക്കാൻ കഴിയുന്ന ബാഹ്യവും നേരിട്ടും ബന്ധിപ്പിച്ചിട്ടുള്ള എല്ലാ സംഭവങ്ങളും ഇൻവെൻ്ററി ചെയ്തു.	ഡൊമെയ്ൻ നാമം, LB, IP, Pod/container list
പാക്കേജ് ഉറവിടവും റിപ്പയർ സ്കോപ്പും	ബാധകമായ എല്ലാ CVE-കളും പരിരക്ഷിക്കുന്നതിന് സ്ഥിരീകരിച്ച പതിപ്പുകൾ ഉപയോഗിക്കുക	അപ്‌സ്ട്രീം സുരക്ഷാ ഉപദേശം, USN/DSA, പാക്കേജ് പതിപ്പ്, ഇമേജ് ഡൈജസ്റ്റ്
പഴയ പ്രക്രിയ പുറത്തുകടക്കുന്നു	എല്ലാ പഴയ master/worker/കണ്ടെയ്‌നറുകളും മാറ്റി	PID/ആരംഭ സമയം, റോളിംഗ് വിന്യാസ നില, റൺ ചെയ്യുന്ന ചിത്രം
കോൺഫിഗറേഷൻ ഓഡിറ്റ്	ഉയർന്ന അപകടസാധ്യതയുള്ള കോമ്പിനേഷനുകൾ ഇല്ലാതാക്കുകയോ പാച്ചുകളാൽ മൂടപ്പെടുകയോ ചെയ്തു, അനന്തരാവകാശ ബന്ധങ്ങൾ പരിശോധിച്ചു.	`nginx -T`-ൻ്റെ ചുരുക്കിയ സംഗ്രഹവും ഓഡിറ്റ് റെക്കോർഡും
TLS/mTLS	വിശ്വസനീയ സർട്ടിഫിക്കറ്റുകൾ പാസ്; അസാധുവായ അല്ലെങ്കിൽ നഷ്ടപ്പെട്ട സർട്ടിഫിക്കറ്റുകൾ നിരസിച്ചു; സെഷൻ പുനരാരംഭിക്കുന്നത് ആധികാരികതയെ മറികടക്കുന്നില്ല	നെഗറ്റീവ്/പോസിറ്റീവ് ഓതറൈസേഷൻ ടെസ്റ്റ്, നിയന്ത്രിത TLS ടെസ്റ്റ് ഫലങ്ങൾ
HTTP/3 അഭ്യർത്ഥന ബോഡി	ഉറപ്പിച്ച പാത പ്രവർത്തനക്ഷമമാക്കുക; അപ്‌സ്ട്രീം അഭ്യർത്ഥന ബോഡിയും ത്രോട്ടിംഗും ശരിയായി പ്രവർത്തിക്കുന്നു	HTTP/3, പ്രോക്സി അപ്ലോഡ്, വോളിയം പരിധി റിഗ്രഷൻ ടെസ്റ്റ്
SSI/AIO	ഫംഗ്ഷൻ ആവശ്യകതകൾ നിറവേറ്റുന്നു, Worker-ന് അസാധാരണമായ അബോർട്ട് ഇല്ല	ബിസിനസ് റിഗ്രഷൻ, ക്രാഷ്, പിശക് നിരക്ക് നിരീക്ഷണം
പ്രവർത്തനവും പരിപാലന നിരീക്ഷണവും	വ്യക്തമായ ഒഴിവാക്കലുകളൊന്നുമില്ല 5xx, SIGSEGV, പ്രോസസ്സ് ആവർത്തിച്ച് പുറത്തുകടക്കുന്നു	മാറ്റങ്ങൾക്ക് മുമ്പും ശേഷവും സേവന സൂചകങ്ങളും ലോഗുകളും
റോൾബാക്ക് തന്ത്രം	റോൾബാക്ക് ആവശ്യമാണെങ്കിൽ, ആദ്യം എക്സ്പോഷർ പരിമിതപ്പെടുത്തുകയും സുരക്ഷാ അതിരുകൾ സംരക്ഷിക്കുകയും ചെയ്യുക	ഓർഡറുകൾ, എമർജൻസി ഫ്ലോകൾ, ക്വാറൻ്റൈൻ പ്ലാനുകൾ എന്നിവ മാറ്റുക
തുടർന്നുള്ള ജീവിത ചക്രം	സുരക്ഷാ ബുള്ളറ്റിൻ സബ്‌സ്‌ക്രിപ്‌ഷനുകൾ, കണ്ടെയ്‌നർ അപ്‌ഡേറ്റ് ഫ്രീക്വൻസി, ബ്രാഞ്ച് മൈഗ്രേഷൻ പ്ലാനുകൾ എന്നിവ നിർണ്ണയിക്കുക	ലെഡ്ജർ, ഉത്തരവാദിത്തപ്പെട്ട വ്യക്തി, അടുത്ത ഓഡിറ്റ് തീയതി എന്നിവ നവീകരിക്കുക

8.1 ലോഗുകളിലും റണ്ണിംഗ് സ്റ്റാറ്റസിലും നിങ്ങൾ എന്താണ് ശ്രദ്ധിക്കേണ്ടത്?

worker process exited on signal 、 SIGSEGV, അഭ്യർത്ഥന പരാജയ സ്പൈക്കുകൾ, അസാധാരണമായ ഉറവിട ആക്‌സസ് അഗ്രഗേഷൻ, അപ്രതീക്ഷിതമായ TLS സെർവറുകളുടെ പ്രവർത്തനരീതി പുനരാരംഭിക്കുന്നതിനും പുനരാരംഭിക്കുന്നതിനും വേണ്ടിയുള്ള അഭ്യർത്ഥന. ഈ സൂചകങ്ങൾ അന്വേഷണ സൂചനകളായി മാത്രമേ ഉപയോഗിക്കാനാകൂ, ഒരു നിശ്ചിത CVE ചൂഷണം ചെയ്യപ്പെട്ടുവെന്ന് നേരിട്ട് തെളിയിക്കാൻ മതിയായ തെളിവുകളല്ല. ;പ്രസക്തമായ ലോഗുകളുടെ അഭാവം ഒരു ആക്രമണം നടന്നിട്ടില്ലെന്ന് തെളിയിക്കുന്നില്ല.

8.2 ശുപാർശ ചെയ്‌ത അന്തിമ റിസ്ക് നിഗമന പദങ്ങൾ

ഉൽപ്പാദന അന്തരീക്ഷത്തിനായുള്ള സ്വീകാര്യത റിപ്പോർട്ട് ഇനിപ്പറയുന്ന കൃത്യമായ പദപ്രയോഗം ഉപയോഗിക്കണം:

NGINX ബാഹ്യ സേവന പ്രവേശനവും സോഫ്റ്റ്‌വെയർ പാക്കേജ് ഉറവിടവും തിരിച്ചറിഞ്ഞു. ബാധകമായ എല്ലാ സംഭവങ്ങളും അപ്‌സ്ട്രീം ഔദ്യോഗിക സുരക്ഷാ പതിപ്പിലേക്ക് അപ്‌ഗ്രേഡ് ചെയ്‌തു, അല്ലെങ്കിൽ റിലീസ് വെണ്ടർ സ്ഥിരീകരിച്ച ബാക്ക്‌പോർട്ട് പൂർത്തിയായി; പഴയ Worker, പഴയ കണ്ടെയ്‌നറുകൾ എന്നിവ മാറ്റി. അപരനാമം/റീറൈറ്റ്/മാപ്പ്, AIO/SSI, HTTP/3 അഭ്യർത്ഥന ബോഡി, TLS സെഷൻ ടിക്കറ്റ്/mTLS എന്നിവയുമായി ബന്ധപ്പെട്ട കോൺഫിഗറേഷനുകൾ ഓഡിറ്റ് ചെയ്യുകയും പ്രവർത്തനപരമായ പുനരവലോകന അഭ്യർത്ഥനകൾ പരിശോധിക്കുകയും ചെയ്തു. ഇതുവരെ അപ്‌ഗ്രേഡ് പൂർത്തിയാക്കാത്ത സന്ദർഭങ്ങളിൽ, എക്‌സ്‌പോഷർ ഏരിയകൾ, നഷ്ടപരിഹാര നടപടികൾ, ഉത്തരവാദിത്തപ്പെട്ട വ്യക്തികൾ, പൂർത്തീകരണ സമയപരിധി എന്നിവ അധികമായി രജിസ്റ്റർ ചെയ്യുക.

Debian 12 അല്ലെങ്കിൽ മറ്റ് റിലീസുകൾക്കുള്ള പാച്ച് ഇപ്പോഴും അപൂർണ്ണമാണെങ്കിൽ, മുഴുവൻ സ്വീകാര്യത ഫോമും “പൂർത്തിയായി” എന്ന് വിലയിരുത്തുന്നത് ഉചിതമല്ല; പരിഹരിക്കപ്പെടാത്ത CVE, അനുബന്ധ ട്രിഗർ കോൺഫിഗറേഷൻ ഉണ്ടോ, ഐസൊലേഷൻ നിലയും അവസാന നവീകരണ റൂട്ടും വ്യക്തമായി രേഖപ്പെടുത്തണം.

അനുബന്ധം: ഉദ്ധരിച്ച ഉറവിടങ്ങളും ലിങ്കുകളും

വിവരണം: വാചകത്തിലെ [Sx] നമ്പറുകൾ ഈ വിഭാഗവുമായി ഒരേപോലെ യോജിക്കുന്നു. അപ്‌സ്ട്രീം പ്രൊജക്‌റ്റ് സുരക്ഷാ അറിയിപ്പുകൾ, കോഡ് കമ്മിറ്റുകൾ, വിതരണക്കാരുടെ റിലീസ് അറിയിപ്പുകൾ, ദേശീയ സുരക്ഷാ ഏജൻസി വിവരങ്ങൾ എന്നിവയ്‌ക്ക് ഇനിപ്പറയുന്നവ മുൻഗണന നൽകുന്നു. ഓരോ ഇഷ്യു ചെയ്യുന്ന ഓർഗനൈസേഷൻ്റെയും റേറ്റിംഗ് മാനദണ്ഡങ്ങൾക്കനുസൃതമായി ഉദ്ധരിച്ച കേടുപാടുകളുടെ തീവ്രത വിവരിച്ചിരിക്കുന്നു; ഡാറ്റ സ്ഥിരീകരണ തീയതി ഒക്ടോബർ 27, 2026 ആണ്.

S1 — NGINX Open Source ഔദ്യോഗിക സുരക്ഷാ ബുള്ളറ്റിൻ

https://nginx.org/en/security_advisories.html

ഒക്ടോബറിലെ അഞ്ച് CVE-കളുടെ അപ്‌സ്ട്രീം ബാധിത പതിപ്പുകൾ, ഫിക്സ് ബ്രാഞ്ചുകൾ, ഔദ്യോഗിക തീവ്രത ലെവലുകൾ എന്നിവ അടങ്ങിയിരിക്കുന്നു, കൂടാതെ 2026 വരെയുള്ള ചരിത്രപരമായ കേടുപാടുകളും ഉൾക്കൊള്ളുന്നു.

S2 — NGINX ഔദ്യോഗിക പതിപ്പ് റിലീസ് റെക്കോർഡ്

2026-10-14-ൻ്റെ 1.30.6 / 1.31.7, 2026-10-21-ൻ്റെ 1.31.8, മെയ് മുതൽ സെപ്തംബർ വരെയുള്ള നിർണായക സുരക്ഷാ റിലീസ് നാഴികക്കല്ലുകൾ എന്നിവ സ്ഥിരീകരിക്കുക.

S3 - സിംഗപ്പൂരിലെ സൈബർ സെക്യൂരിറ്റി ഏജൻസി: F5 NGINX മൂന്ന് ഗുരുതരമായ കേടുപാടുകൾ

https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-150/

CVSS v4.0 9.2 സ്കോറുകളുടെ വിവരണം, ആവശ്യമായ കോൺഫിഗറേഷൻ വ്യവസ്ഥകൾ, CVE-2026-15176, CVE-2026-93479, CVE-2026-97205 എന്നിവയ്‌ക്കായുള്ള ഇടക്കാല ലഘൂകരണ ശുപാർശകൾ.

S4 - NHS ഇംഗ്ലണ്ട്: F5 NGINX ഹൈ റിസ്ക് അഡ്വൈസറി

https://digital.nhs.uk/cyber-alerts/2026/cc-4872

മെമ്മറി സുരക്ഷാ പ്രശ്‌നങ്ങളുടെ DoS / സാധ്യതയുള്ള RCE ആഘാതം വിവരിക്കുന്നു, കൂടാതെ ASLR പോലുള്ള നിയന്ത്രണങ്ങൾ ഓഫാക്കുകയോ ബൈപാസ് ചെയ്യുകയോ ചെയ്യുന്നു.

S5 — ഔദ്യോഗിക ഉറവിടം: CVE-2026-15176

https://github.com/nginx/nginx/commit/f8a23425bd6840c4c36b4264edf576ba3646156f

ngx_http_map_uri_to_path()-ലെ alias, r->uri_changed എന്നിവയുടെ സ്റ്റാറ്റസ് പരിശോധനയുമായി പൊരുത്തപ്പെടുന്നു.

S6 — ഔദ്യോഗിക ഉറവിടം: CVE-2026-93479

https://github.com/nginx/nginx/commit/6aa4b3fdd4fdc156153f2981eb4070690624447c

HTTP/Stream സ്‌ക്രിപ്റ്റ് ദൈർഘ്യവും റിസർവ് ചെയ്‌ത ബഫർ അലോക്കേഷൻ ലോജിക്കും അനുസരിച്ച്.

S7 - ഔദ്യോഗിക ഉറവിടം: CVE-2026-97205

https://github.com/nginx/nginx/commit/6adfc05ece48f92446383ec1f145446848694698

r->main->blocked കൗണ്ട് ത്രെഷോൾഡ് NGX_HTTP_MAX_BLOCKED 250, അസിൻക്രണസ് പാത്ത് ഫാൾബാക്ക് എന്നിവയുമായി പൊരുത്തപ്പെടുന്നു.

S8 — ഔദ്യോഗിക ഉറവിടം: CVE-2026-95101

https://github.com/nginx/nginx/commit/1c173a2d8767730e678c27446138d7ae5dd6fd64

HTTP/3 അജ്ഞാത ഫ്രെയിം ശേഷിക്കുന്ന നീളവും DATA ബോഡി ദൈർഘ്യവും അഭ്യർത്ഥിക്കുന്ന സ്റ്റാറ്റസ് വേർതിരിക്കൽ.

S9 — ഔദ്യോഗിക ഉറവിടം: CVE-2026-97629

https://github.com/nginx/nginx/commit/1916f26e6ca49296568633d309777e36527e5bb2

സിൻക്രൊണൈസേഷൻ TLS സെഷൻ ടിക്കറ്റ് റൊട്ടേഷൻ സമയത്ത് എല്ലാ കീ സ്ലോട്ടുകളുമായും യോജിക്കുന്നു.

S10 — F5: CVE-2026-15176 വെണ്ടറുടെ അറിയിപ്പ്

https://my.f5.com/manage/s/article/K000162416

alias, rewrite, $request_filename തുടങ്ങിയ ട്രിഗർ ഘടകങ്ങളും ആക്സസ് ലോഗുകളും ലിസ്റ്റ് ചെയ്യുക.

S11 — F5: CVE-2026-93479 വെണ്ടർ അറിയിപ്പ്

https://my.f5.com/manage/s/article/K000162607

മാപ്പ് റീജക്സ് ക്യാപ്‌ചർ, root പാത്ത്, ലോഗ് വേരിയബിൾ മൂല്യനിർണ്ണയ വ്യവസ്ഥകൾ എന്നിവ ലിസ്റ്റ് ചെയ്യുക.

S12 — NGINX ഔദ്യോഗിക TLS/SSL മൊഡ്യൂൾ ഡോക്യുമെൻ്റേഷൻ

https://nginx.org/en/docs/http/ngx_http_ssl_module.html

വിവരണം ssl_session_cache, ssl_session_tickets, ssl_session_ticket_key കൂടാതെ ക്ലയൻ്റ് സർട്ടിഫിക്കറ്റ് പ്രാമാണീകരണവും മറ്റ് നിർദ്ദേശങ്ങളും.

S13 — സുരക്ഷാ ഉപദേശം: Ubuntu USN-8955-1 (2026-10-26)

https://ubuntu.com/security/notices/USN-8955-1

Ubuntu 22.04 / 24.04 / 26.04 / 26.10. എന്നതിൻ്റെ പൂർണ്ണമായ സോഫ്‌റ്റ്‌വെയർ പാക്കേജ് നിശ്ചിത പതിപ്പും വിതരണ പരിധിയും നൽകുക

S14 — സുരക്ഷാ ഉപദേശം: Debian DSA-6575-1 (2026-10-21)

https://lists.debian.org/debian-security-announce/2026/msg00490.html

Debian 13 / trixie എന്നതിനായുള്ള സെക്യൂരിറ്റി ഫിക്സ് പാക്കേജ് 1.26.3-3+deb13u10 സ്ഥിരീകരിക്കുക, CVE-2026-93479 എന്നതിനായുള്ള ബാക്ക്‌പോർട്ട് അസോസിയേഷൻ രേഖപ്പെടുത്തുക.

S15 — ദുർബലത ട്രാക്കിംഗ്: Debian Security Tracker: CVE-2026-15176

https://security-tracker.debian.org/tracker/CVE-2026-15176

Debian 12 / bookworm, Debian 13 / trixie എന്നിവയുടെ ഡിസ്ട്രിബ്യൂഷൻ ഫിക്സ് സ്റ്റാറ്റസ് പരിശോധിക്കാൻ ഉപയോഗിക്കുന്നു. ഭാവിയിലെ സുരക്ഷാ അപ്‌ഡേറ്റുകൾക്കൊപ്പം ഈ നില മാറിയേക്കാം.

S16 — ദുർബലത ട്രാക്കിംഗ്: Debian Security Tracker: CVE-2026-95101

https://security-tracker.debian.org/tracker/CVE-2026-95101

വിവിധ Debian ശാഖകളിലെ HTTP/3 അപകടസാധ്യതയുടെ സുരക്ഷാ നിലയുടെ അനുബന്ധ സ്ഥിരീകരണം.

S17 — സുരക്ഷാ ഉപദേശം: Red Hat: CVE-2026-93479

https://access.redhat.com/security/cve/cve-2026-93479

ഒക്ടോബർ റിഗ്രഷൻ ദുർബലതയും ജൂലൈ CVE-2026-42533-നുള്ള പരിഹാരവും തമ്മിലുള്ള പരസ്പര ബന്ധത്തെക്കുറിച്ചുള്ള അനുബന്ധ ധാരണ.

S18 — NGINX ഔദ്യോഗിക റിവേഴ്സ് പ്രോക്സി മൊഡ്യൂൾ ഡോക്യുമെൻ്റ്

proxy_request_buffering, client_max_body_size, alias, aio, തുടങ്ങിയ കോൺഫിഗറേഷനുകളുടെ സെമാൻ്റിക്സും ഡിഫോൾട്ട് മൂല്യങ്ങളും അന്വേഷിക്കുക.

S19 — NGINX Plus ഔദ്യോഗിക റിലീസ് കുറിപ്പുകൾ

https://docs.nginx.com/nginx/releases/

ലിസ്റ്റ് പ്ലസ് CR/LTS ശാഖകൾ, പതിപ്പുകൾ, പാച്ചുകൾ, അനുയോജ്യത റിമൈൻഡറുകൾ നവീകരിക്കുക.

S20 — NGINX JavaScript / njs ഔദ്യോഗിക സുരക്ഷാ ബുള്ളറ്റിൻ

ഒക്‌ടോബർ 2026 njs 1.0.2-ഉം അനുബന്ധ XML മൂല്യനിർണ്ണയം, മെമ്മറി ക്ഷീണ പ്രശ്‌നങ്ങളും അടങ്ങിയിരിക്കുന്നു.

S21 — Kubernetes: കമ്മ്യൂണിറ്റി ingress-nginx ഔദ്യോഗിക വിരമിക്കൽ നിർദ്ദേശങ്ങൾ

2026 മാർച്ചിൽ പ്രോജക്റ്റ് പുതിയ റിലീസുകളും സുരക്ഷാ പരിഹാരങ്ങളും നിർത്തി, പരിപാലിക്കുന്ന കൺട്രോളർ അല്ലെങ്കിൽ Gateway API മൈഗ്രേറ്റ് ചെയ്യാൻ ശുപാർശ ചെയ്യുന്നു.

S22 — NGINX ഔദ്യോഗിക സേവന നിയന്ത്രണവും ഓൺലൈൻ ബൈനറി അപ്‌ഗ്രേഡ് നിർദ്ദേശങ്ങളും

https://nginx.org/en/docs/control.html

പ്രോസസ്സ് സ്വിച്ചിംഗ് സ്വീകാര്യതയ്ക്കായി കോൺഫിഗറേഷൻ റീലോഡ്, റീസ്റ്റാർട്ട്, ഓൺലൈൻ എക്‌സിക്യൂട്ടബിൾ ഫയൽ അപ്‌ഗ്രേഡ് രീതികൾ വേർതിരിക്കുക.

S23 - സർക്കാർ സുരക്ഷാ അറിയിപ്പ്: മെയ് 2026 NGINX അപകടസാധ്യത മാറ്റിയെഴുതുക

CVE-2026-42945 എന്നതിനായുള്ള ചരിത്രപരമായ അപകട പശ്ചാത്തലവും സുരക്ഷാ അപ്‌ഡേറ്റ് നിർദ്ദേശങ്ങളും നൽകുക; ഇൻ-ദി വൈൽഡ് ചൂഷണവുമായി ബന്ധപ്പെട്ട വിധിന്യായങ്ങൾ അക്കാലത്തെ ഏജൻസി പ്രഖ്യാപനത്തെയും കൂടുതൽ സംഭവ തെളിവുകളുടെയും അടിസ്ഥാനത്തിലായിരിക്കണം.

S24 — F5: CVE-2026-95101, CVE-2026-97629 വെണ്ടർ പ്രഖ്യാപനങ്ങൾ

HTTP/3 അഭ്യർത്ഥന ബോഡി ഇൻജക്ഷൻ, ഓട്ടോമാറ്റിക് TLS ടിക്കറ്റ് കീ റൊട്ടേഷൻ എന്നിവയുടെ അപകടസാധ്യതകൾ യഥാക്രമം ഉൾക്കൊള്ളുന്നു.

S25 — F5: CVE-2026-97205 വെണ്ടറുടെ അറിയിപ്പ്

https://my.f5.com/manage/s/article/K000162608

വിവരണം SSI/AIO ട്രിഗർ അവസ്ഥകളും മെമ്മറി അഴിമതി അപകടസാധ്യതകളും.

NGINX സുരക്ഷാ അപ്‌ഡേറ്റ്: കോൺഫിഗറേഷൻ പരിശോധനകൾ, നവീകരണങ്ങൾ, സ്ഥിരീകരണം