Data artykułu historycznego: 2026-10-14 (data ujawnienia i zwolnienia zabezpieczeń). Sprawdzono źródła i uzupełniono informacje poprzez 2026-10-27.
Wydarzenie i wpływ
NGINX wypuścił Stable 1.30.6 i Mainline 1.31.7 na 2026-10-14, naprawiając pięć podstawowych luk: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 i CVE-2026-97629. Wpływają na mapowanie ścieżek, ocenę zmiennych, asynchroniczne operacje na plikach, treści żądań HTTP/3 i bilety sesji TLS. Ekspozycja zależy od konfiguracji; nie każde wdrożenie NGINX jest podatne na zdalne wykonanie kodu.
Działania priorytetowe
- W przypadku pakietów nadrzędnych należy przestrzegać oddzielnej wersji podstawowej poprawki Stable 1.30.6 lub Mainline 1.31.7. Mainline 1.31.8 był dostępny w późniejszym terminie weryfikacji. W przypadku pakietów dystrybucyjnych i NGINX Plus sprawdź oddział dostawcy i pełną wersję pakietu.
- Kombinacje audytu obejmujące
alias,rewrite,map, SSI/AIO, HTTP/3 i współdzielone pamięci podręczne sesji TLS. Nadawaj priorytety publicznym punktom końcowym i usługom, korzystając z uwierzytelniania za pomocą certyfikatu klienta. - Sprawdź konfigurację, a następnie uruchom ponownie lub wprowadź zamienniki dla każdej starej instancji. Zwykłe ponowne załadowanie konfiguracji nie dowodzi, że aktywny plik binarny został zaktualizowany.
Weryfikacja i monitorowanie
Upewnij się, że rzeczywiste punkty końcowe korzystają ze stałych pakietów lub obrazów, a także przetestuj przesyłanie przez serwer proxy, limity treści żądań, routing i uwierzytelnianie za pomocą certyfikatu klienta. WAF, ASLR i tymczasowe zmiany konfiguracji nie mogą zastąpić poprawek. Nie można zakładać, że status naprawy jednej dystrybucji będzie dotyczył innej.
Ten artykuł jest zarchiwizowany pod datą wydarzenia 14 października i zawiera późniejsze informacje. Przeczytaj pełny przewodnik dotyczący luk w zabezpieczeniach i naprawie NGINX, aby poznać konfiguracje, których dotyczy problem, poprawki specyficzne dla gałęzi, mechanizmy poprawek, tymczasowe środki zaradcze i oficjalne źródła.