NGINX زیانونه: لاملونه، اصلاحات او د تولید تصدیق

د تاریخي مقالې نیټه: 2026-10-14 (د افشا کولو او امنیت خپریدو نیټه). سرچینې چک شوي او معلومات د 2026-10-27 له لارې ضمیمه شوي.

دا مقاله د پیښې نیټې لخوا آرشیف شوې؛ د اکتوبر 14 وروسته خپاره شوي نسخه او د خوشې کولو تازه معلومات لاندې شامل دي. اورېدونکي: NGINX Open Source / NGINX Plus ویب پاڼه او د ریورس پراکسي عملیات او ساتنې پرسونل، د امنیتي غبرګون پرسونل، د توزیع ساتونکي، او همدارنګه هغه انجینران چې پخپله NGINX ترتیبوي او د دریمې ډلې ماډلونه ساتي.

دا مقاله د پنځو NGINX اصلي زیانونو باندې تمرکز کوي چې د اکتوبر په 14، 2026 کې افشا شوي او په کلکه سره ټاکل شوي، او همدارنګه د نمایندګۍ د حافظې خوندیتوب ته بیا کتنه کوي او د می څخه تر سپتمبر 2026 پورې د بشپړتیا زیانمننې غوښتنه کوي. منځپانګې د محرک شرایط، د کوډ کچه، د میډیا شارټ میډیا اغیزې لاملونه، کوډ-سطحه، د میډیا د اغیزو لاملونه پوښي. اقدامات، د رسمي پیچ پلي کول، زړو څانګو ته بیرته ستنیدل او د تولید تصدیق. حوالې لکه S1 د سرچینې ضمیمې ته لینک. د بېلګې ترتیبونه یوازې د پلي کولو او پلټنې نظریاتو روښانه کولو لپاره کارول کیږي، او باید د اصلي نسخې، د ترتیب میراث، انحصار، او د پلي کولو دمخه د سوداګرۍ ظرفیت پراساس تصدیق شي.

TL؛ DR: د لومړیتوب کړنې

1. د امنیت لوړولو ته لومړیتوب ورکړئ. لپاره nginx.org د خلاصې سرچینې کڅوړې، تازه کړئ Stable 1.30 لږ تر لږه څانګه 1.30.6 او د Mainline 1.31 لږ تر لږه څانګه 1.31.7. د تایید په نیټه، 1.31.8 وروستی دی Mainline خوشې کول دا د جلا څانګې اساسات دي؛ د دوی شمیر په څانګو کې مه پرتله کوئ. S1 S2
2. د بشپړ کڅوړې نسخې لخوا د توزیع تاسیسات تایید کړئ. Ubuntu 22.04 / 24.04 / 26.04 / 26.10 د پلورونکي بیک پورټونه لري؛ Debian 13 (trixie) لږترلږه 1.26.3-3+deb13u10 ته اړتیا لري. په تایید کې، Debian 12 (bookworm) بسته 1.22.1-9+deb12u10 لاهم اغیزمنه نښه شوې. هر CVE وګورئ؛ د Debian 13 مشوره دا نه ثابتوي چې Debian 12 ثابت دی. S13S14S15
3. Audit five configuration combinations: alias + rewrite + $request_filename, map + regex + variable evaluation, aio + ssi + include virtual, HTTP/3 with proxy_request_buffering on, and ssl_session_cache shared:... with automatic TLS Session Ticket key گردش یوازې د لارښود شتون د استثمار وړتیا نه رامینځته کوي؛ د غوښتنې لاره او ترتیب کولو ساحه ارزونه وکړئ. S1S3S4
4. ټول زاړه پروسې او کانتینرونه بدل کړئ. nginx -t چل کړئ، بیا خدمت بیا پیل کړئ یا د لوړ شتون رولینګ پلي کول ترسره کړئ. تایید کړئ چې زاړه master/worker پروسې وتلي دي؛ nginx -s reload یوازې دا نه ثابتوي چې روان بائنری بدل شوی.
5. اصلي پای ټکي تایید کړئ: HTTP/1.1، HTTP/2، HTTP/3 که فعاله وي، پراکسي اپلوډونه او د API د غوښتنې بنسټونه، mTLS سند تصدیق، SSI او مخونو ته لاسرسی. د بسته بندۍ ثبوت، نسخه، د عکس هضم، د هرې پای ټکي لپاره روانې پروسې او پایلې ثبت کړئ.
6. که سمدستي اپ گریڈ ناممکن وي، د تطبیق وړ محرک شرایط لرې کړئ: غیر ضروري غیر فعال کړئ SSI / AIO یا HTTP/3 , زیانمنونکي بیاکتنه alias / rewrite / map متغیر حوالې، او لنډمهاله ارزونه ssl_session_tickets off; د اغیزمنو لپاره mTLS خدمتونه WAF , ASLR د نرخ محدودیتونه او د ترتیب بدلون یوازې ځینې شرایط پوښي او نشي کولی د رسمي پیچونو ځای ونیسي. S3 S4 S8 S12

1. د زیان مننې عمومي کتنه او د خطر قضاوت

NGINX 1.30.6 (Stable) او 1.31.7 (Mainline) د اکتوبر په 14، 2026 خپور شو، د پنځو امنیتي مسلو حل کول. په دریو کې د هپ اوور فلو یا کارولو څخه وروسته وړیا شامل دي او د F5 CVSS v4.0 د 9.2 نمرې ترلاسه کړې. نور دوه د HTTP/3 غوښتنې بشپړتیا او TLS پیرودونکي سند تصدیق اغیزه کوي. S1S2S3

د درجه بندي سیسټمونو توپیر وکړئ: nginx.org ټولې پنځه مسلې د medium په توګه لیست کوي، پداسې حال کې چې F5 CVSS v4.0 او ځینې ملي امنیت ادارې د حافظې درې مسلې د جدي په توګه طبقه بندي کوي. دا پدې معنی ندي چې ټول پنځه د غیر مشروط ریموټ کوډ اجرا کولو ته اجازه ورکوي. ترتیب، د ټرافیک لاسرسي او د برید کونکي کنټرول څخه بهر شرایط. د حافظې فساد او د اعتبار وړ RCE د شواهدو مختلفې کچې دي. S1S3S4

CVE	تخنیکي مسلې او عادي محرک شرایط	اصلي اغیزه	ارزونه او تخریب
CVE-2026-15176	alias د لارې نقشه کول + rewrite بدلون URI + ارزونه $request_filename	د هپ بفر اوور فلو، Worker حادثه؛ احتمالي RCE د ځانګړو شرایطو لاندې	F5 CVSS v4.0 9.2; د ستونزو حل کولو ته لومړیتوب ورکړئ
CVE-2026-93479	HTTP/Stream سکریپټ ارزونه، په ځانګړې توګه د map regex کیپچر او root ډایرکټر، د متغیر کراس حواله لاګ	ساتل شوی بفر له سره لیکل شوی او ڈھیر ډیریږي؛ احتمالي RCE د ځانګړو شرایطو لاندې	F5 CVSS v4.0 9.2; د تیرو ترمیمونو وروسته د راجستر کیدو خطر دی
CVE-2026-97205	SSI مجازی شامل دي او AIO/اسینکرونس عملیات؛ بقایا عملیاتي شمیره اوور فلو	د کارولو وروسته - وړیا، Worker حادثه، د حافظې فساد؛ احتمالي RCE	F5 CVSS v4.0 9.2; غیر ډیفالټ ترتیب ته اړتیا لري
CVE-2026-95101	HTTP/3 نامعلوم چوکاټ په بفرونو کې ټوټې شوی، د پراکسي غوښتنه د بدن بفرینګ فعال شوی	په غلطه توګه د غیر DATA بایټس د اپسټریم غوښتنې بدن کې انجیکشن کول ، په احتمالي توګه د غوښتنې د بدن اندازې حد څخه تیریدل	دا زیانمنتیا د غوښتنې بشپړتیا اغیزه کوي. دا پخپله د ریموټ کوډ اجرا (RCE) نه وړاندې کوي.
CVE-2026-97629	شریک شوی TLS سیشن کیچ، اتوماتیک کیلي گردش او د Worker کیلي عکس العمل	د ناستې ټکټ جعل؛ د پیرودونکي سند تصدیق بای پاس ممکن د اغیزمن شوي mTLS خدمت لپاره واقع شي	د سند تصدیق کولو ډول API سوداګرۍ اغیزو ته ځانګړې پاملرنې ته اړتیا ده

پورته CVSS نمرې د F5 لخوا د v4.0 په کارولو سره ورکول کیږي. ورته زیانمنتیا ممکن د CVSS 3.1، nginx.org په خپلو درجو او د توزیع شدت درجه کې مختلف شدت وښيي. S1S3S4

1.1 یوازې د CVE نمرو پرځای د ګمارنې افشا کولو ته لومړیتوب ورکړئ

د استخدام فورمه	د څیړنې مهم ټکي	د ضایع کولو لومړیتوب سپارښتنې
د عامه شبکې ریورس پراکسي، په شمول دودیز شوي rewrite، alias، او پیچلي map	CVE-2026-15176، CVE-2026-93479 او له می څخه تر جولای پورې د بیا لیکلو/نقشې زیانونه	P0: سمدلاسه پلټنه او تازه کول
API / مدیریت الوتکه د یوازینۍ یا اصلي ننوتلو تصدیق په توګه د پیرودونکي سند کاروي	د سیشن ټیکټ او د CVE-2026-97629 شریک کیچ ترتیب	P0: سمدستي د تصدیق حد او تازه کول تایید کړئ
بهرنۍ HTTP/3 اپلوډ، د وضعیت بدلون انٹرفیس، د لیږد ټولګي API چمتو کړئ	CVE-2026-95101، په ځانګړې توګه د غوښتنې بدن د شاليد سره تړلی دی	P0/P1: د سوداګرۍ اهمیت سره سم تنظیم کړئ
SSI متحرک پاڼه یا غیر متناسب فایل I/O	CVE-2026-97205	P1: د ترکیب شرایط تایید کړئ او ژر تر ژره ترمیم کړئ
یوازې جامد پاڼې + ساده HTTP/1.1/2 ریورس پراکسي	ترتیب او نسخه اوس هم باید وڅیړل شي، مګر د CVE ځینې شرایط ممکن ورک وي	P1: د بیړني امنیت اپ گریڈ کړکۍ کې شامل دي
د متقاعد Kubernetes ټولنه ingress-nginx وکاروئ	پروژه د امنیت ساتنه بندوي، او خطرونه په دې پنځو CVEs پورې محدود ندي	د انفرادي کنټرولر مهاجرت پلان جوړ کړئ

P0/P1 د عملیاتو او ساتنې تخفیف وړاندیزونه دي چې پدې مقاله کې د عامه شبکې افشا کولو او تصدیق کولو حساسیت لپاره ورکړل شوي. دا رسمي CVSS طبقه بندي نه ده، او نه باید د تصدۍ داخلي شتمنۍ بدل کړي او د خطر ارزونه بدل کړي.

1.2 د اغیزې حد او د برید اجازه

په دې بیچ کې اصلي زیانونه په عمده ډول د NGINX ډیټا پلان کې موقعیت لري: د برید ننوتلو نقطه د پیرودونکي اړیکه او غوښتنه ده، او اصلي اغیزه معمولا د Worker پروسې کې واقع کیږي. که چیرې د حافظې فساد لپاره د ګټې اخیستنې شرایط پوره شي ، د کوډ اجرا کولو اجازه عموما د چلونکي کارونکي لخوا محدودیږي ، کانټینر محدودیتونه ، د لینکس وړتیا ، نصب کول او د Worker شبکې اجازه؛ احتمالي RCE په اوتومات ډول د root امتیازاتو یا کوربه جوړجاړی معنی نلري. S4

مګر حتی که دا پروسه غیر امتیازي وي، دا ممکن لاهم د پراکسي اسنادو ته لاسرسی ولري، د لوستلو وړ فایلونه چې د سند خصوصي کیلي لري، د اپ سټریم خدمت ټکنونه، لنډمهاله فایلونه، داخلي API، او د لاسرسي وړ شبکې. د mTLS لپاره، د بای پاس تصدیق کول پخپله یوه جدي سوداګریزه پایله کیدی شي، او اړینه نده چې د کوډ اجرا کولو سره وي.

2. د لامل تحلیل

2.1 په NGINX کې د درې خطا احتمالي حدود درک کړئ

NGINX worker یو اوږدمهاله، د پیښې پرمخ وړونکې پروسه ده چې د غوښتنې حالت، غیر مطابقت لرونکي عملیات او پروتوکول پارسر ساتي. دا زیانمنتیا په دریو انجینرۍ کچو کې خنډونه رامینځته کوي:

1. د متغیر ارزونه او د حافظې اندازه باید مطابقت ولري: rewrite د غوښتنې بدلولو وروسته URI، د لارې نقشه باید د اوسني اغیزمن location سره مطابقت ولري؛ کله چې د سکریپټ ژباړونکي د متغیر اوږدوالی محاسبه کوي، د لیکلو ځای باید اصلي محصول او خوندي ځایونه پوښي.
2. غیر متناسب عملیات باید د غوښتل شوي حافظې د ژوند دوره وغځوي: کله چې د فایل لوستل او لیکل ، د کیچ انتظار یا تار دندې بشپړې نه وي ، د اړوند غوښتنې حافظې حوض مخکې له مخکې خوشې نشي.
3. د پروتوکول حالت او امنیت حالت نشي مخلوط یا پریښودل کیدی شي: HTTP/3 د نامعلوم چوکاټ سکیینګ اوږدوالی د DATA غوښتنې د بدن اوږدوالی په توګه نشي ګڼل کیدی. TLS ټول کلیدي سلاټونه چې د لاسلیک تصدیق کې برخه اخلي باید په سمه توګه پیل شي او د سیشن ټیکټ گردش پرمهال همغږي شي.

لاندې مینځپانګه د NGINX اپ سټریم فکس کمیټ او د پلورونکي اعلان پراساس ده ترڅو د ناکامۍ میکانیزم تشریح کړي چې رامینځته کیدی شي؛ بېلګه ټوټه د تحلیل لپاره ده، بشپړ کوډ نه دی چې په مستقیم ډول د تولید چاپیریال ترمیم لپاره کارول کیدی شي. S5S6S7S8S9

2.2 CVE-2026-15176: د alias او بیا لیکل شوي URI ترمنځ د لارې نقشه ناسمه ده.

په NGINX کې، د location سره سمون خوري او د دې alias د فایل لاره ټاکي؛ rewrite کولی شي اوسنی غوښتنه URI بدل کړي. د بیا لیکلو وروسته، د اصلي location نقشه کولو لخوا کارول شوي انګیرنې ممکن نور پاتې نشي.

د اغیزمنې پروسس کولو لاره په سمه توګه نه ده کتلې چې ایا غوښتنه په ngx_http_map_uri_to_path() کې د alias حالت چک کولو پر مهال بیا لیکل شوې وه. کله چې تشکیلات د بیا لیکلو وروسته د $request_filename ارزونې ته دوام ورکوي، لاره ممکن د انګیرنې سره جوړه شي چې د اوسني URI حالت سره سمون نه لري، په پای کې د هپ حافظې ته د حد څخه بهر لیکل پیلوي. S5

عادي ترکیب (یوازې د ترتیب د پلټنې لپاره د مثال په توګه کارول کیږي، ځای پرځای کول سپارښتنه نه کیږي):

# 仅用于识别风险模式：不是修复配置
location /foo/ {
    alias /srv/alias-root/;
    rewrite ^/foo/.*$ /new-path;
    return 200 $request_filename;
}

خطر په return پورې محدود نه دی: set، if، add_header، log_format، او داسې نور هم باید وڅیړل شي که چیرې د $request_filename ارزونه په ورته پروسه کې پیل شي. په مثال کې return یوازې د دې دولت لاره د لیدلو لپاره اسانه کوي، دا د دې اټکل کولو لپاره نشي کارول کیدی چې د تولید ټول تشکیلات به ډیر جریان تولید کړي. S5S10

د برید پایلې: د غوښتنې رامینځته کول ممکن د Worker د بیا پیل یا د خدماتو مداخلې لامل شي؛ د شرایطو لاندې لکه ASLR تړل کیږي یا له پامه غورځول کیدی شي، احتمالي RCE شتون لري. د اپ سټریم پیچ اصلي برخه د alias شرایطو کې د بیا لیکل شوي URI لارې نقشه بشپړولو څخه انکار کول دي چې نور د اعتبار وړ ندي ، د دې پرځای چې د یو ځانګړي بفر پراخول. S5S10

2.3 CVE-2026-93479: د سکریپټ ارزونې کې د “محفوظ ځای” او ریښتیني متغیر اوږدوالي ترمینځ بې توپیره

د NGINX HTTP او Stream ماډلونه د سکریپټ ارزونکي لري چې لفظي تارونه او متغیر ارزښتونه د پایلې په تار کې سره نښلوي. د غوښتنلیک مثالونه د HTTP سند root لارې، د لاسرسي لاګ لارې، او په Stream کې متغیر څرګندونې شاملې دي.

د map + منظم بیان ځینې ترتیبونه د map پایلې متغیر ارزولو دمخه د نورو څرګندونو لخوا نیول شوي ارزښتونو ته د لوستلو اجازه ورکوي. د سکریپټ اجرا کولو میتود سره د ټاکل شوي اوږدوالي سره یوځای شوی، زوړ تطبیق به د len خوندي ځای د ارزول شوي اوږدوالي جمع کونکي کې مخکې له مخکې حساب کړي، نو د دې وروسته د لیکلو پوائنټر حسابونه نور د بفر حد سره مطابقت نلري. د یو ځانګړي متغیر ارزونې ترتیب کې، د وروستي سټینګ لیکونه ممکن ساتل شوې ساحه له سره لیکي، چې د هپ د ډیریدو لامل کیږي. S6

ګډون کوونکي عناصر	ولې دا د پام وړ ارزښت لري
regex په map کې	د متغیر ارزونې نیول ممکن د ژوند دوره او د کیچ کولو چلند ولري
نامعلوم نیول لکه $1، $2، او داسې نور.	په اسانۍ سره د نورو منظم بیانونو یا څرګندونو لخوا لیکل کیږي، د مالکیت تعقیب ستونزمن کوي
په root کې تغیرات	د سکریپټ اجرا کول او د بفر ریزرویشن کله چې د لارې جوړونه پیل کوي
log_format/متحرک لاګ لاره	ورته ارزونه ممکن وروسته په غوښتنه کې پیل شي
په stream کې د سکریپټ څرګندونې	د اپ سټریم فکس هم ngx_stream_script_run() تعدیل کوي. تاسو نشئ کولی یوازې د HTTP ماډل بیاکتنه وکړئ.

د راجستریشن مهم اړیکه: د دې زیانمننې پورې اړوند کوډ د پخوانیو بدلونونو سره تړاو لري چې CVE-2026-42533 ټاکل شوي. د Debian 13 لپاره رسمي DSA په واضح ډول وايي چې اغیزمن کوډ د مخکیني امنیتي بیکپورټ له لارې trixie بسته کې معرفي شوی. نو ځکه، “د جولای map د زیان مننې پیچ نصب شوی” پدې معنی ندي چې د اکتوبر CVE-2026-93479 پوښل شوی؛ د بشپړ امنیت فکس سلسله باید وڅیړل شي. S6S14S17

دلته احتمالي RCE خطر د حافظې محافظت چاپیریال پورې اړه لري ، او دا باید ادعا ونه شي چې یوازې map ریجیکس به د نامعلوم برید کونکو لخوا د ګټې اخیستنې وړ وي. S11

2.4 CVE-2026-97205: AIO نامکمل عملیاتي شمیرې پوښل د کارولو لاملونه - وروسته - وړیا

دا زیان په ساده ډول نه دی “SSI چالان کړئ او تاسو به UAF ترلاسه کړئ”. کلیدي د غیر متناسب عملیاتو حوالې شمیره کې ده چې د اصلي غوښتنې لخوا ترسره کیږي.

NGINX r->main->blocked وکاروئ د غیر متناسب پروسس تعقیبولو لپاره چې لاهم ندي بشپړ شوي ، په زاړه پلي کولو کې دا د 8-bit شمیره وه؛ ځینې ​​لارې د شمیر زیاتولو دمخه د پورتنۍ حد چیک نه کوي. کله چې ورته اصلي غوښتنه 256 بقایا عملیات راټول کړي، شمیره ممکن له 255 څخه تر 0 پورې وتړل شي. راتلونکي پروسې به په غلطۍ سره پدې باور وي چې هیڅ غیر متناسب عملیات شتون نلري چې د غوښتنې خوشې کیدو مخه ونیسي ، په دې توګه د غوښتنې حافظه حوض خوشې کوي چې لاهم د دندې لخوا راجع کیږي. S7

د ناکامۍ پروسه په لاندې برخو ویشل کیدی شي:

1. د اړونده اسینکرونوس I/O/thread لارې فعالولو سره، د SSI پاڼه د include virtual له لارې ډیری فرعي غوښتنې یا لوستل عملیات معرفي کوي.
2. د یوې ټاکلې اصلي غوښتنې بقایا عملیات تر پورتنۍ حد پورې راټول شوي چې د شمیرنې ساحې لخوا نمایش کیږي.
3. د 8-bit شمیره شاوخوا پوښل کیږي، په غلط ډول د “نه پاتې عملیات” په توګه څرګند شوي.
4. د غوښتنې حافظه حوض خوشې شوی ، پداسې حال کې چې فایل لوستل کیږي ، کیچ انتظار کوي ، یا د تار دندو کال بیکونه لاهم ورته حوالې ساتي.
5. د غیر متمرکز تکمیل کال بیکونه خوشې شوي حافظې ته لاس رسی لري، چې پایله یې UAF، Worker حادثې یا احتمالي حافظې فساد دی.

رسمي فکس د غوښتنې سرلیک فایل ته NGX_HTTP_MAX_BLOCKED 250 اضافه کوي، او د محصول فلټر، کیچ لوستلو، او د پورته کولو تار لاره کې محدودیتونه زیاتوي؛ کله چې حد ته ورسیږي، د همغږي شوي لارو سره عملیات په همغږي توګه بشپړ شوي، او که دوی په خوندي ډول پروسس نشي، د پاتې کارونو نور اضافه کول به رد شي. S7

د تطبیق قضاوت: دا باید و ارزول شي چې ایا SSI، AIO، مجازی شاملول، فرعي غوښتنې او اړونده غیر متناسب عملیات د ورته غوښتنې سلسله کې په ترکیب کې واقع کیدی شي. دا معمولا د ډیفالټ ساده جامد پراکسي تشکیلات ندي. aio off; یا ssi off; کولی شي ځانګړي محرک عناصر لرې کړي، مګر د سوداګرۍ فعالیت انحصار باید لومړی تایید شي. S4S7S25

2.5 CVE-2026-95101: HTTP/3 نامعلوم چوکاټ د DATA غوښتنې بدن حالت سره مغشوش دی

د HTTP/3 چوکاټ پارسر باید د DATA چوکاټونو ترمنځ توپیر وکړي (کوم چې د HTTP غوښتنې باډي پروسس کولو ته لیږدول کیږي) او نامعلوم چوکاټونه چې باید پریښودل شي. د نامعلوم چوکاټونو اوږدوالی هم باید په سمه توګه وساتل شي کله چې د شبکې بفرونو کې ټوټې کیږي.

د ngx_http_v3_parse_data() زوړ تطبیق د st->length ساحه کارولې ترڅو د نامعلوم چوکاټونو پریښودلو په وخت کې د “بایټ پاتې شمیر پریښودل” خوندي کړي، پداسې حال کې چې د غوښتنې باډي فلټر ورته ساحه د “د پاتې DATA پایلوډ اوږدوالی” په توګه تشریح کوي. که چیرې نامعلوم چوکاټ د څو پارس کالونو اوږدولو لپاره پیښ شي، د پارس کولو وروسته د بایټونو بله ډله ممکن د غوښتنې د برخې برخې په توګه غلطه وي. S8

دوه ډوله خطرونه رامنځته کیږي:

• د باډي انجیکشن غوښتنه وکړئ: د پیرودونکي لخوا سپارل شوي غیر DATA فریم تادیه ممکن د اپ سټریم غوښتنلیک ته ولیږدول شي ، د ډیټا بدلول چې واقعیا د بیک اینڈ لخوا ترلاسه شوي.
• د اندازې حد بای پاس: client_max_body_size او نور محدودیتونه. تمه شوي چکونه د DATA لار باندې متمرکز دي، او په غلط ډول بدل شوي مینځپانګې ممکن د اړوند تصدیق څخه تیر شي.

د عامل محرک سناریو چې د چارواکو لخوا تشریح شوې هغه ده کله چې ngx_http_v3_module د HTTP/3 غوښتنه ترلاسه کوي او proxy_request_buffering on ته لیږل کیږي. په ngx_http_proxy_module کې د پراکسي غوښتنې د بدن بفرینګ په ډیفالټ فعال شوی. له همدې امله، ریورس پراکسي چې HTTP/3 فعالوي باید لومړی وڅیړل شي. دا مناسبه نده چې فرض کړئ چې هیڅ محرک حالت شتون نلري ځکه چې proxy_request_buffering on; په واضح ډول نه دی لیکل شوی. S8S18

د دې زیانمننې مستقیم پایله د پس منظر غوښتنې بشپړتیا او د امنیت حد بدلون پورې اړه لري، کوم چې د RCE په مستقیم ډول د NGINX کور کې بشپړ شوي مساوي بیان ندی. د سوداګرۍ وروستی اغیزه پدې پورې اړه لري چې دا بایټونه څنګه تجزیه شوي او د پورته جریان باور لري. S24

2.6 CVE-2026-97629: TLS د ټکټ گردش دریم کلیدي سلاټ له لاسه ورکوي

په اغیزمنو ترتیبونو کې، NGINX کولی شي په اوتومات ډول د TLS سیشن ټیکټ کیلي د شریک حافظې کیچ له لارې رامینځته او وګرځوي، څو Worker ته اجازه ورکوي چې د ټکټونو ورته بسته پروسس کړي.

اړونده همغږي منطق د هر Worker لپاره 3 کلیدي سلاټونه تخصیص کوي، او د ډیکریپشن کال بیک به دا سلاټونه تیر کړي؛ مګر زوړ تطبیق هر ځل د شریکې حافظې څخه یوازې 2 کلیدي سلاټونه کاپي کوي، په پایله کې د کلیدي نوم، HMAC کیلي او د دریم سلاټ AES. کیلي ممکن غیر پیل شوي پاتې شي. که چیرې د ټکټ کلیدي پیژندونکی د دې حالت سره سمون ولري، نو غیر پیل شوي کلیدي مواد ممکن د لاسلیک تصدیق او کوډ کولو لپاره وکارول شي، پدې توګه د TLS سیشن جعل کولو لپاره لاره جوړوي. S9

د لوړ خطر ګمارنې ترکیبونه معمولا دي:

# 仅为排查触发条件所示：共享缓存本身不是恶意配置
ssl_session_cache shared:SSL:10m;
# 未显式配置 ssl_session_ticket_key 文件，使用自动轮换机制

د دې زیانمننې ترټولو جدي سوداګرۍ پایله دا ده چې په هغه خدماتو کې چې د پیرودونکي سند تصدیق (mTLS) په ssl_verify_client on; او نورو لارو کې کاروي ، د بیا رغونې جعلي ناستې ممکن د پیرودونکي سند تصدیق له پامه غورځوي. د بريد برياليتوب هم د بې کنټروله شرايطو تابع دی؛ یو سایټ چې یوازې د نورمال سرور اړخ HTTPS سند کاروي او د پیرودونکي سند تصدیق باید غلط نه وي ځکه چې “برید کوونکی کولی شي د ټولې ویب پا loginې څخه تیریږي.” S9S12

دا د TLS سیشن تصدیق حالت مسله ده او پدې پورې اړه نلري چې ایا د سرور TLS شخصي کیلي کریک شوی یا ایا د عامه CA root سند اغیزمن شوی. S24

2.7 د DoS، RCE، تصدیق بای پاس او پیژندل شوي کارونې څنګه پوهیدل

• DoS: د حافظې تېروتنه د Worker د کریش یا په پراخه کچه ریبوټ لامل کیږي. ایا دا د عمومي نشتوالي لامل کیږي د ترافیک فشار ، د پروسې بیا پیل کولو وړتیا ، د پیوستون ساتنې وخت او د لوړ شتون جوړښت پورې اړه لري.
• احتمالي RCE: ځینې اعالنونه په ګوته کوي چې د کوډ اجرا کولو امکان شتون لري کله چې ASLR تړل شوی یا تیریږي. دا پدې معنی ندي چې د عامه برید سلسله چې کولی شي په ثابت او نړیوال ډول امرونه اجرا کړي افشا شوي. S4
• د انجیکشن / تصدیق کولو بای پاس غوښتنه وکړئ: دا ممکن مستقیم د خوندي سوداګرۍ حالت بدل کړي یا د مینځپانګې غوښتنه وکړي ، او یوازې له پامه غورځول کیدی نشي ځکه چې دا مستقیم شیل نه ترلاسه کوي.
• د برید هڅې یې کشف کړې: CVE-2026-42945 د می په 2026 کې په ځنګل کې د استخراج فعالیتونو راپورونه لري. باید په مستقیمه توګه دا تاریخي حقیقت په دې معنی نه وي چې د اکتوبر په میاشت کې ټول پنځه CVEs په لویه کچه په بریالیتوب سره کارول شوي. S23

3. د ترمیم نسخه او پیچ انتخاب

3.1 NGINX Open Source رسمي پیچ بیس لاین

پورته څانګه	لومړۍ رسمي نسخه په اکتوبر کې پنځه زیانونه پوښلي	د 2026-10-27 په توګه وړاندیزونه
Stable 1.30.x	1.30.6（2026-10-14）	لږترلږه 1.30.6 نصب کړئ، او د راتلونکو امنیتي نسخو سره تعقیب کړئ.
Mainline 1.31.x	1.31.7（2026-10-14）	1.31.8（2026-10-21）
پخوانۍ NGINX Open Source څانګه	دا یوازې د “زاړه زیان مننې پیچ پلي شوي” پراساس قضاوت نشي کیدی.	لومړی ساتل شوي څانګې ته مهاجرت وکړئ؛ که نه نو، پلورونکی اړ دی چې د CVE-by-CVE پر بنسټ د ملاتړ رسمي شواهد چمتو کړي.

دا د nginx.org upstream سرچینې کوډ/رسمي څانګې نسخې پایلې دي، او باید د توزیع پلورونکي لخوا چمتو شوي بیک پورټ شوي فکسونو سره د امنیت کڅوړه په مستقیم ډول ردولو لپاره ونه کارول شي. حتی که د 1.31.6 ارزښت د 1.30.6 څخه ډیر وي ، دا لاهم د اصلي لاین څانګې پیچ بیس لاین څخه ټیټ دی. S1S2

3.2 د پنځو CVEs پورته اغیزې ساحه

لاندې سلسلې د nginx.org امنیتي بلیټین اصلي متن سره سم لیست شوي او اړتیا لري چې د “اوسني چلونکي څانګې” او “اصلي ترتیب لاره” سره په ګډه پوه شي:

CVE	Upstream tags اغیزمن شوي نسخې	په رسمي ډول لیبل شوی ثابت نسخه
CVE-2026-15176	0.1.29–1.31.6	1.30.6+ یا 1.31.7+، په خپلو اړوندو څانګو کې
CVE-2026-93479	1.30.0–1.30.5，1.31.2–1.31.6	د پورته په څیر ورته
CVE-2026-97205	0.8.11–1.31.6	د پورته په څیر ورته
CVE-2026-95101	1.25.0–1.31.6	د پورته په څیر ورته
CVE-2026-97629	1.23.2–1.31.6	د پورته په څیر ورته

CVE-2026-93479 د معرفي کولو ځانګړي محدودیتونه لري؛ هر زوړ NGINX نسخه د دې راجسټریشن لخوا نه اغیزمن کیږي. د دې حدونو څخه بهر زاړه نسخې ممکن لاهم د پخوانی map regex زیان CVE-2026-42533 لخوا اغیزمن شي. S1

3.3 Ubuntu: د توزیع بیرته پورټونه (USN-8955-1)

کینونیکي USN-8955-1 د اکتوبر 26، 2026 د څلورو Ubuntu ودانیو لپاره امنیتي تازه معلومات چمتو کوي: S13

Ubuntu نسخه	nginx او د ورته سرچینې بسته ټاکل شوې نسخه	تفصیل
22.04 LTS	1.18.0-6ubuntu14.22	دا د پلورونکي بیک پورټ دی؛ د اپ سټریم نسخه شمیره لاهم 1.18.0 ښیې
24.04 LTS	1.24.0-2ubuntu7.19	د پورته په څیر ورته
26.04 LTS	1.28.3-2ubuntu1.12	د پورته په څیر ورته
26.10	1.30.4-7ubuntu1.1	د پورته په څیر ورته

په اعلان کې د هومولوګس کڅوړو اړوند ثابت شوي نسخې شاملې دي لکه nginx-core، nginx-extras، nginx-full، او nginx-light. د دې په اړه پایلې مه اخلئ چې ایا دا یوازې د nginx -v لخوا ښودل شوي د پورتنۍ برخې څخه حل کړئ. لکه Ubuntu 24.04 او 1.24.0-2ubuntu7.19 د دې پلورونکي لخوا پیچ شوي، مګر د هرې سرچینې څخه 1.24.0 په طبیعي توګه خوندي ندي.

Ubuntu په رسمي ډول هم په واضح ډول په نښه شوي CVE-2026-95101 یوازې اغیزه کوي Ubuntu 26.04 / 26.10 ، او CVE-2026-97629 یوازې اغیزه کوي Ubuntu 24.04 / 26.04 / 26.10. دلته دی Ubuntu د خپل بسته بندۍ او فعالیت ساحه، کوم چې نشي کولی په مستقیم ډول نورو توزیع ته وده ورکړي. S13

3.4 Debian: د نسخو ترمنځ توپیر باید په جلا توګه وڅیړل شي

د Debian مشورتي DSA-6575-1 (2026-10-21) دا پنځه CVEs پوښي او د Debian 13 / trixie لپاره ثابت nginx بسته پیژني لکه:

1.26.3-3+deb13u10

په هرصورت، د دې راپور د تایید وخت پورې، د Debian 12 / bookworm لپاره 1.22.1-9+deb12u10 لاهم د Debian امنیتي ټریکر لخوا د زیان منونکي په توګه بیرغ شوی. نو ځکه:

• Debian 13 یوازې د DSA-6575-1 مطابق تازه او منل.
• Debian 12 باید د اوسني امنیت ټریکر یا ELTS پلورونکي لخوا چمتو شوي امنیتي اصلاحات یو یو چیک کړي؛ مخکې له دې چې فکس په اعلان کې تایید شي، اعلان مه کوئ چې ټول پنځه توکي د apt upgrade بریالیتوب پراساس ټاکل شوي.
• د Debian سرچینې کڅوړه ممکن د nginx.org نسخه شمیرې څخه خپلواک پیچ سیټ ولري. د دودیز جوړیدو لپاره ، تاسو اړتیا لرئ د بشپړ سرچینې کوډ بسته فکس سیټ وګورئ ، او تاسو نشئ کولی یوازې یو واحد اپ سټریم ژمنې کاپي کړئ او بشپړ یې په پام کې ونیسئ.

پورته توپیر د DSA او CVE تعقیب ریکارډونو پراساس دی. S14S15S16

3.5 NGINX Plus، njs او د ننوتلو کنټرولر

محصولات / اجزا	د امنیت انتخاب او تایید کلیدي ټکي
NGINX Plus (تجارتي نسخه)	مهرباني وکړئ د F5 سره په مطابقت کې د پلس څانګې اعلان او لوړولو لارښوونو ته مراجعه وکړئ. د تصدیق کولو په وخت کې وروستی CR PLS.37.2.0.1 دی، او د LTS امنیتي جوړښت PLS.37.0.7.1 دی؛ د پلس نسخه او شامل بیک پورټ نشي کولی په مستقیم ډول د خلاصې سرچینې 1.30/1.31 حد لخوا بدل شي. S19
njs / ngx_http_js_module	2026-10-14 njs 1.0.2 خپروي او CVE-2026-101019 او CVE-2026-101025 حل کوي؛ که تاسو njs کاروئ، تاسو باید د NGINX سره د ماډل مطابقت هم وګورئ. S20
F5 NGINX د ننوتلو کنټرولر / د ګیټ وی فیبرک	د NGINX کور یو اړوند مګر خپلواک سافټویر توزیع سلسله ده. اړونده زیانمننې د دوی اړوند کنټرولرانو ، عکسونو او خوشې نوټونو سره حل کړئ. تاسو نشئ کولی یوازې په پوډ کې د NGINX بائنری ځای په ځای کړئ.
Kubernetes ټولنه kubernetes/ingress-nginx	پروژه د 2026 په مارچ کې له مینځه وړل کیږي او نور به نوي امنیت ساتنه چمتو نکړي. تاسو باید د F5 NGINX انګریس کنټرولر لپاره د هغې د خوشې کولو شمیره د غلط کولو پرځای ساتل شوي کنټرولر یا Gateway API ته مهاجرت پلان کړئ. S21

3.6 کوم پیچ باید تاسو واقعیا غوره کړئ؟

د استخدام فورمه	وړاندیز شوي تمرینونه	د ترمیم ثبوت
nginx.org رسمي DEB/RPM بسته	د اپ سټریم څانګې ثابت نسخه ته لوړ کړئ	nginx -v/-V، د بسته بندۍ سرچینه، رسمي امنیتي اعلان
Ubuntu/Debian رسمي ذخیره	د پلورونکي امنیت کڅوړې نصب کړئ	د بشپړ بسته نسخه + پلورونکي USN/DSA + CVE حالت
RHEL/Alma/Rocky/SUSE/نور توزیع	د ځانګړي توزیع امنیتي بلیټینونو او بسته نسخو مطابق لوړ کړئ	د اړونده پلورونکي CSAF/اعلان، Ubuntu/Debian نسخه نشي پلي کیدی
رسمي یا دودیز کانټینر عکسونه	د تایید شوي ترمیم عکس بیا جوړ کړئ یا راوباسئ او په رولینګ اساس یې بدل کړئ	د انځور هضم، د SBOM جوړول، د پوډ / کانټینر عکس ID چلول
پخپله تالیف شوي NGINX, OpenResty, Tengine یا د دریمې ډلې ماډلونو سره پیچ شوي نسخې	د ساتونکي بشپړ امنیت نسخه کارولو ته لومړیتوب ورکړئ؛ کله چې اړتیا وي د هدف سرچینې ونې لپاره بیاکتل شوي پیچ بیک پورټونه ترسره کړئ	پنځه د زیان مننې اصلاحات، د ABI/ماډول مطابقت، واحد او د سوداګرۍ راجستر

OpenResty او Tengine د خوشې کولو مختلف سیسټمونه دي؛ دا جدول یوازې د تایید میتود تشریح کوي. دا پدې معنی ندي چې د دې ټولې نسخې په ورته وخت کې د معیاري NGINX په څیر اغیزمن کیږي، او نه هم د اپسټریم کوډ پیچ غیر مشروط پلي کیدی شي.

4. د ترمیم رسمي پروسه

4.1 د بهرني ترافیک ترلاسه کولو اصلي مثالونو لیست

لږترلږه د هرې ننوتلو لپاره کلیک وکړئ:

• د ډومین نوم، د بار توازن/CDN/edge پراکسي لینک، د اصلي سایټ د افشا کولو طریقه او د شبکې پروتوکول کارول کیږي.
• NGINX محصولات (خلاصه سرچینه، پلس، انګریس، او نور)، بشپړ نسخه، د کڅوړې ذخیره سرچینه، د عکس هضم.
• nginx -V د ودانۍ ماډلونه او د تالیف پیرامیټونه ښیې؛ ایا دلته njs، Lua، OpenResty، او د دریمې ډلې متحرک ماډلونه شتون لري.
• اصلي چلول master/worker PID، د خدماتو واحد/کانټینر/پوډ، نقل او Worker نوډ.
• اصلي اغیزمن http/stream، server، location، include تشکیلات.
• ایا د HTTP/3، mTLS، SSI/AIO، متحرک لاګ لاره، پیچلي map او regex نیول فعال کړئ.

یوازې ډیفالټ /etc/nginx/nginx.conf مه ګورئ. د تولید چاپیریال ډیری وختونه ډیری سایټونه، TLS او د ماډل ترتیبونه د include له لارې باروي. کیدای شي د NGINX د نصبولو ډیری لارې یا څو پراکسي پرتونه هم وي.

4.2 نسخه او تالیف معلومات چیک کړئ

# NGINX 版本及构建选项
nginx -v
nginx -V 2>&1

# Linux：查看实际运行的 NGINX 进程
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

# Debian / Ubuntu：查看完整已安装包版本、来源
apt-cache policy nginx
# 兼顾 nginx-core / nginx-full / nginx-extras 等实际已安装包
dpkg-query -W 'nginx*' 2>/dev/null

# RPM 系：以实际安装包及仓库公告为准
rpm -qa | grep '^nginx'

nginx -V د کمانډ لاین په لاره کې موندل شوي بائنری جوړولو راپور ورکوي؛ دا نه ثابتوي چې روان worker دا پورته کړی دی. nginx -v ممکن د توزیع بشپړ کڅوړې ضمیمه له لاسه ورکړي ، نو د کڅوړې مدیر یا د اکمالاتو سلسلې ریکارډونه هم چیک کړئ.

4.3 اغیزمن ترتیب صادر کړئ او د جامد سکرینینګ لومړی پړاو ترسره کړئ

nginx -T به ترتیب ازموینه وکړي او ضمیمه شوي تشکیلات ډمپ کړي. محصول ممکن حساس معلومات ولري لکه د تصدیق اسناد، کلیدي لارې، د داخلي کوربه نومونه، او داسې نور. دا سپارښتنه کیږي چې کنټرول شوي ترمینل د root اجازې او شخصي فایل اجازې سره خوندي کړئ، او اصلي فایلونه د عامه کار امرونو ته مه ځړئ:

sudo sh -c 'umask 077; nginx -T > /root/nginx-effective.conf 2> /root/nginx-config-check.log'

sudo grep -nE \
  'alias|rewrite|map[[:space:]]|request_filename|aio[[:space:]]|ssi[[:space:]]|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_ticket_key|ssl_session_tickets|ssl_verify_client|log_format|root[[:space:]]' \
  /root/nginx-effective.conf

دا یوازې د کاندید لاره لوکیټر دی، نه د باور وړ CVE اتوماتیک تعیین وسیله:

1. grep نشي کولی دا معلومه کړي چې آیا متغیرونه په ورته location کې موقعیت لري یا د ورته غوښتنې ارزونې سلسله، او نه دا د ترتیب میراث اړیکه کمولی شي.
2. proxy_request_buffering on، ځینې کیچ او د ټیکټ ترتیبونه ډیفالټ ارزښتونه لري، او د ورته لارښوونو نه لیکل پدې معنی ندي چې خطر له لاسه ورکوي.
3. د ریورس پراکسي، CDN، کانټینر سایډ کار، یا کنټرولرونو لخوا رامینځته شوي تشکیلات ممکن د لاسي تفتیش شوي فایلونو څخه توپیر ولري.
4. د NGINX Plus او متحرک ماډلونو ځانګړتیاوې ممکن د دوی اړوند رسمي مدیریت وسیلو په کارولو سره تایید شي.

4.4 د باوري چینلونو له لارې فکس پلي کول

Debian/Ubuntu (د رسمي توزیع ذخیره):

sudo apt-get update
apt-cache policy nginx

# 升级发行版仓库中已经安装的 NGINX 及相关包；
# 先确认 Candidate 属于修复版本，再执行升级。
sudo apt-get install --only-upgrade nginx

# 对实际安装的 nginx-core / nginx-full / nginx-extras 等包
# 确认它们的版本和依赖一同达到厂商修复要求。
dpkg-query -W 'nginx*' 2>/dev/null

د کمانډونو دا سیټ نشي کولی د پتلی هوا څخه امنیتي اصلاحات رامینځته کړي چې لاهم شتون نلري. په ځانګړي توګه د Debian 12 لپاره ، که چیرې پرمختللي کڅوړه لاهم د امنیت تعقیب سیسټم لخوا زیان منونکي ګ . S13S14S15

nginx.org رسمي بسته:

# 先确认仓库来自 nginx.org、目标分支和候选版本
apt-cache policy nginx
# 经变更审批后再执行对应仓库的升级命令
sudo apt-get install --only-upgrade nginx

که د ځان تالیف شوي، OpenResty، Tengine یا NGINX Plus کاروئ، د ورته ساتونکي لخوا ملاتړ شوي فکس نسخه وکاروئ او د nginx.org، توزیع او د دریمې ډلې ذخیره کڅوړې مه ګډوئ. اصلي بائنریز/انځورونه، تشکیلات، لاسلیکونه، او د رول بیک ګومارنې څرګندونه باید وساتل شي.

کانټینرونه/Kubernetes: نه بدلیدونکی عکس تازه کړئ ، د هغې هضم ثبت کړئ او ټول زاړه عکسونه د مرحله شوي رول آوټ سره ځای په ځای کړئ. kubectl rollout status یوازې تاییدوي چې د ګمارنې کنټرولر پای ته رسیدلی؛ همدارنګه د عکس هضم، د ننوتلو لاره او غیر صحي نقلونه تایید کړئ.

4.5 ترتیب تایید کړئ او زاړه Worker ځای په ځای کړئ

sudo nginx -t
# 按服务实际名称、主机高可用和变更窗口执行重启
sudo systemctl restart nginx
sudo systemctl status nginx --no-pager

# 核查真正存在的 master / worker
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

د nginx -s reload سره د ثبوت په توګه چلند مه کوئ چې یو نوی بائنری روان دی: عادي ترتیب بیا پورته کول اجازه ورکوي چې زاړه master پرته له دې چې د اجرا وړ ځای په ځای کړي نوي کارګران پیل کړي. NGINX د وقف شوي آنلاین بائنری اپ گریڈ طرزالعمل ملاتړ کوي، مګر دا اضافي ګامونو او تایید ته اړتیا لري. د یوې تاسیس شوي طرزالعمل پرته، د لوړ شتون لرونکي ټرافیک سویچ څخه کار واخلئ چې وروسته د خدماتو بیا پیل شي، یا د بدیل کانټینرونه راوباسئ. S22

که تاسو د NGINX د systemd ساکټ، کانټینر د ننوتلو سکریپټ، یا څو نصبونو له لارې اداره کوئ، تاسو باید د اصلي لانچ هدف او د پروسې لاره وګورئ د مستقیم انګیرنې پرځای چې systemctl restart nginx ټول مثالونه پوښي.

4.6 د اصلي بهرني ننوتلو څخه د سوداګرۍ راجستر قبول کړئ او ترسره کړئ

دا سپارښتنه کیږي چې لږترلږه ترسره کړئ:

• ایا نورمال HTTPS، بیا لیکل شوي لارې، جامد سرچینې، او alias نقشه پاڼې سمې دي.
• ایا د map منظم توزیع، متغیر root لاره، د لاسرسي لاګ لاره، SNI/د سند روټینګ، او Stream پراکسي سمه ده؟
• ایا نورمال اپلوډونه، ټوټې شوي اپلوډونه، د API غوښتنې او د HTTP/3 لپاره د پورته حجم محدودیتونه (کله چې فعال شوي) اوس هم لکه څنګه چې تمه کیږي.
• mTLS: د مشروع سند غوښتنې باید بریالي شي؛ ورک شوي، ختم شوي، یا غیر مجاز سندونه باید لاهم رد شي، او د TLS بیا پیل کول / بیا نښلول باید په ناڅاپي ډول اجازه بدل نه کړي.
• ایا د SSI پاڼې او غیر متمرکز فایل لاسرسی نورمال دی؛ د تېروتنې لاګ د حافظې حوالې یا تکرار Worker کریشونو لپاره غیر معمولي غوښتنې نه ښیې.
• د ترافیک سویچ وروسته ، د زاړه نسخې پروسه او د زاړه عکس عکس باید وتلی وي.

ازموینه باید په خپل یا مجاز چاپیریال کې ترسره شي. د عادي غوښتنې سګرټ ازموینه یوازې نشي ثابتولی چې د حافظې زیانمنتیا ثابته شوې ده؛ په نهایت کې ، د عرضه کونکي ثابت نسخه ، د سرچینې کوډ پیچ او د چلولو ټیسټ باید په ګډه د منلو لپاره ومنل شي.

5. د کمولو اقدامات کله چې سمدستي پرمختګ ممکن نه وي

دا برخه د خطر کمولو اختیار دی، نه د پیچ بدیل. ټول لنډمهاله تشکیلاتي بدلونونه باید بیک اپ شي، nginx -t اجرا شي، په بیچونو کې خپور شي، او د اړتیا په صورت کې ژر تر ژره بیرته وګرځول شي. S3S4

5.1 د بهرني افشا کولو پراساس د ترافیک لومړیتوب کنټرول کړئ

د خدماتو د برید سطح کمولو ته لومړیتوب ورکړئ چې په وخت کې نشي کولی لوړ شي: د مدیریت په سطح او داخلي API کې د باوري سرچینې لاسرسي کنټرول اضافه کړئ ، د اپسټریم شبکې جلا کول یا لنډ مهاله آفلاین؛ پیوستون اضافه کړئ، د بدن غوښتنه وکړئ او د لوړ خطر ننوتلو ته د نرخ محدودیتونه؛ ډاډ ترلاسه کړئ چې د سرچینې تصدیق د غوښتنې پروسس کولو سلسله دمخه د ننوتلو پورې اړوند NGINX کې واقع کیږي. دا باید په پام کې ونیول شي چې ډیری زیانونه پخپله په NGINX کې موقعیت لري د ډیټا الوتکې دننه، د WAF دودیز قواعد ممکن د دودیز ترتیب کولو محرک شرایط په سمه توګه وټاکي.

5.2 alias / rewrite: د بیا لیکلو وروسته د $request_filename ارزولو څخه ډډه وکړئ

دا سپارښتنه کیږي چې چک او تنظیم کړئ:

• هڅه وکړئ د rewrite ترسره نه کړئ کوم چې به URI په ورته وخت کې د location په کارولو سره alias بدل کړي.
• د $request_filename کارولو څخه ډډه وکړئ کله چې URI بیا لیکل شوی وي مګر د سم موقعیت میچ لاهم بشپړ شوی نه وي.
• په return، set، if، add_header کې د غیر مستقیم متغیر حوالې لپاره وګورئ، د لاګ فارمیټ ته لاسرسی، او فایلونه شامل کړئ.
• واضح root/try_files/خپلواک location وکاروئ کله چې سوداګرۍ اجازه ورکړي، مګر یوازې alias ته root بدلوي. دا ممکن د فایل لاره سیمانټیک هم بدل کړي ، کوم چې باید یو له بل سره تایید شي.

په انټرنیټ کې د موجوده تشکیلاتو د بیا لیکلو لپاره په مستقیم ډول په انټرنیټ کې عام “خوندي بیا لیکلو ټیمپلیټ” کاپي مه کوئ. د مختلف location مخکیني او بیا لیکل شوي هدفونه په بشپړ ډول مختلف معنی سره د لارې جلا کیدو لامل کیږي. S5

5.3 map/Regex: د نیولو متغیر حالت مخلوط کم کړئ

دا سپارښتنه کیږي چې نومول شوي کیپچرونو ته لومړیتوب ورکړئ او د دوی د تکثیر ساحه محدوده کړئ ، د دې پرځای چې نامعلومه کیپچرونو ته اجازه ورکړئ لکه $1 د وخت په تیریدو سره د مختلف ریجیکس ارزونې لارو کې بیا وکارول شي. د بېلګې په توګه:

# 演示具名捕获的结构，实际变量名和匹配表达式须按业务调整
map $host $tenant_root {
    default /srv/www/default;
    ~^(?<tenant>[a-z0-9-]+)\.example\.net$ /srv/www/$tenant;
}

دا ټوټه یوازې د متغیر مالکیت د پلټنې لپاره اسانه جوړښت څرګندوي؛ پدې معنی نه ده چې دا ثابته شوې چې په خپلواکه توګه د CVE-2026-93479 ټولې لارې له منځه یوسي. په ځانګړې توګه، بیاکتنه وکړئ چې ایا د نیولو متغیرونه د نورو root یا log_format لخوا د وخت څخه مخکې حواله شوي، او ایا volatile، متحرک لارې، او د متقابل ارزونې زنځیرونه شتون لري. F5/CERT د لنډ مهاله راحت په توګه د نومول شوي کیپچر کارولو وړاندیز کوي او د ورته منظم میچ کولو ترتیب ته د کارولو ساحه محدودوي. S3S6

5.4 AIO + SSI: د غیر ضروري فعالیت ترکیبونه بند کړئ

د سرورونو / لارو لپاره چې SSI یا غیر متمرکز فایل I/O ته اړتیا نلري، وکاروئ:

# 在适当的 http/server/location 上下文中配置
ssi off;
aio off;

د زیان مننې د محرک شرایطو له نظره، له دوو څخه د یوه بندول معمولا د بیان شوي ځانګړي سلسلې لرې کولو لپاره کافي دي؛ په ورته وخت کې تړل یوازې په سناریوګانو کې پلي کیږي چیرې چې سوداګرۍ پدې وړتیا تکیه نه کوي. include virtual، فرعي غوښتنې، کیچ، او د تار حوض چلند وګورئ؛ کله چې د ریورس پراکسي بار لوړ وي، د AIO بندول ممکن ځنډ او I/O فعالیت بدل کړي. S7

5.5 HTTP/3 د بدن د انجیکشن غوښتنه وکړئ: د اړتیا په صورت کې په موقتي ډول د ننوتلو دروازه وتړئ

غیر فعال کړئ quic اوریدونکی چې پکې شامل وي HTTP/3 ، لغوه کول Alt-Svc د ځواب سرلیک چې اعلان کوي HTTP/3 ، او وګورئ چې ایا د څنډې پرت/لوډ بیلانسر لاهم لیږي QUIC په مستقیم ډول غیر ترمیم شوي ته غوښتنه کوي NGINX :

# 示意：保留 HTTPS/TCP；暂时移除此前的 QUIC/UDP listen
server {
    listen 443 ssl;  # 保留 HTTPS/TCP 入口
    # 对支持新版语法的构建，可在此使用 http2 on;
    # 删除原有的 listen 443 quic reuseport;
    # 删除原有的 add_header Alt-Svc ...;（仅限宣传 h3 的那项）
    # 其余证书、server_name、location 等配置保持不变
}

پورته یوازې د بدلون توپیر تشریح دی، نه د بشپړ سرور ترتیب چې په انفرادي توګه فعال کیدی شي. د HTTP/2 ترتیب ترکیب د NGINX نسخه پورې اړه لري؛ که تاسو د HTTP/2 ساتلو ته اړتیا لرئ، تاسو باید د ورته نسخې مطابق http2 on; یا موجوده معتبر ترکیب وکاروئ، او د nginx -t سره وګورئ. باید د ځای پرځای کولو دمخه د موجوده سرور ترتیب سره ضمیمه شي ، د دې برخې سره د ټولې برخې ځای په ځای کولو پرځای. همدارنګه د UDP 443 فایر وال، HTTP/3 د پای ته رسیدو موقعیت او د CDN/فرنټ پراکسي د پیرودونکي فال بیک لاره هم ګوري.

د لنډ مهاله تخفیف بل ډول د اغیزمن شوي پراکسي لار کې د proxy_request_buffering off; کارول دي، مګر دا به د اپسټریم غوښتنې د بدن سټرینګ چلند، د ناکامۍ بیا هڅه، او ځینې اپلوډ کاري جریان بدل کړي؛ یوازې د کافي ازموینې او تایید وروسته کارول کیدی شي چې لارښود اغیزمن HTTP/3 پراکسي لاره ته زیان رسوي. S8S18

5.6 TLS سیشن ټیکټ: د لومړیتوب محافظت mTLS تصدیق حد

که چیرې پرمختلل ممکن نه وي او مثال د شریک سیشن کیچ + د اتوماتیک ټیکټ کلیدي گردش باندې تکیه کوي ، ارزونه وکړئ:

# 在 nginx http/server 适当作用域进行配置
ssl_session_tickets off;

دا کولی شي د TLS سیشن ټیکټ میکانیزم بند کړي، په دې توګه د ټیکټ جعل لاره لرې کوي چې پدې زیان کې بیان شوي؛ په هرصورت، دا کیدای شي د سیشن بیا پیلولو فعالیت اغیزه وکړي. تاسو نشئ کولی یوازې د mTLS پیرودونکي سند تصدیق بند کړئ ترڅو “د زیانونو څخه مخنیوی وکړئ”، ځکه چې دا به مستقیم د اصلي تصدیق حد حذف کړي. S9S12

واضح ssl_session_ticket_key فایلونه او خوندي گردش هم د مسلکي TLS مدیریت پروسو لخوا کارول کیدی شي ترڅو د اتومات تولید شوي شرایطو مخه ونیسي ، مګر کلیدي توقیف ، بشپړ نوډ توزیع ، گردش ، او د زاړه ټیکټ ژوند دورې ټول باید په دقت سره وڅیړل شي. دا سپارښتنه نه کیږي چې د لنډمهاله بیړنیو حالتونو لپاره په عادي ویب ترتیب یا سکریپټونو کې د اوږدې مودې بیا کارونې وړ کیلي هارډ کوډ کړئ. مهم خدمتونه چې mTLS کاروي باید د TLS سیشن بیا پیلولو چلند او د اعتبار وړ پیرودونکي سند پرته د غوښتنو ردولو لپاره هم وڅارل شي. S12

5.7 د عملیاتي سیسټم رول او د سرحد ساتنه

# Linux：常见值 2 表示进程地址空间随机化处于完整启用状态
sysctl kernel.randomize_va_space

ASLR، غیر root کارګران، یوازې د لوستلو کانټینر فایل سیسټمونه، د فایل لږترلږه اجازې او د شبکې جلا کول کولی شي د احتمالي RCE اغیز کم کړي. ASLR د هپ اوور فلو یا UAF نه حل کوي او نشي تضمین کولی چې کارګران به غورځیږي. WAF، د نرخ محدودیتونه او د بدن اندازې حدونو غوښتنه کول د TLS ټکټ کلیدي همغږي نه حل کوي. S4

5.8 عام غلط فهم: دا عملیات د ترمیم بشپړولو لپاره کافي ندي

عام عملیات	ولې دا ناکافي ده؟
“nginx -v نسبتا نوی ښکاري”	هغه څانګه چې دا پورې اړه لري، د خوشې کولو نسخه بشپړ بیکپورټ بسته نسخه او آنلاین پروسه نه چک شوې.
”یوازې یو له انټرانیټ څخه لوړ شوی”	زوړ Worker/زوړ کانټینر/زوړ CDN اصلي مثال اوس هم غوښتنې ترلاسه کوي
”سایټ د پی ایچ پی / متحرک ټاګونه نه کاروي”	نیمګړتیا د NGINX اصلي لارې یا پروتوکول پارس کولو کې پیښیږي او د PHP اجرا کولو تکیه نه کوي.
”د WAF/Cloudflare خلاصول کافي دي”	WAF نشي ثابت کیدی چې د NGINX ټول ترتیب پورې تړلي حافظې نیمګړتیاوې یا TLS بیا پیل کولو نیمګړتیاوې بندې کړي
”د ASLR دمخه پرانستل شوی”	یوازې د ستونزو د کمولو څخه ګټه پورته کول؛ DoS د غوښتنې انجیکشن سره لاهم امکان لري
”HTTP/3 عامه شبکې ته نه دی افشا شوی، نو د نوي کولو اړتیا نشته”	نور څلور CVEs لاهم خپلواکې ارزونې ته اړتیا لري؛ او کیدای شي د پټو اصلونو سره مستقیم تړاو ولري
”د جولای د map زیانمنتیا ثابته شوې”	اکتوبر CVE-2026-93479 د سکریپټ ارزونې د بیاکتنې مسلې شاملې دي
”د کیشینګ غیر فعال کول ټولې ستونزې حل کوي”	یوازې ځینې TLS کیچ یا AIO سناریو اغیزه کوي، او عرف، سکریپټ، HTTP/3 پوښي نه کوي

6. د رسمي پیچ پلي کولو نظریات او بیاکتنې ټکي

دا برخه د اکتوبر 2026 upstream NGINX اصلاحات تعقیبوي. ټوټې د پیچ ​​بیاکتنې لپاره نمایشي بدلونونه څرګندوي؛ دوی بشپړ ندي، په خپلواکه توګه د تالیف وړ اصلاحات. د دودیز جوړونو لپاره، بشپړ ژمنې بیاکتنه، شاوخوا کوډ او ازموینې، او د بشپړ ملاتړ شوي خوشې کولو غوره کول. S5S6S7S8S9

6.1 CVE-2026-15176: URI د alias لارې نقشه کولو ردولو شرایط شاملولو لپاره بیا لیکل شوي

د پورته کولو ژمنې په src/http/ngx_http_core_module.c کې ngx_http_map_uri_to_path() تعدیل شوی:

- if (alias && !r->valid_location) {
+ if (alias && (!r->valid_location || r->uri_changed)) {

د بیاکتنې تمرکز: د فایل سیسټم لاره محاسبه کولو ته دوام نشي ورکولی کله چې URI بدل شوی وي مګر د alias اړوند ځای سیمانټیک نور د اعتبار وړ ندي. دا د دولت څخه مخکې محدودیت ته وده ورکوي. دا یو ساده چک ندی چې ایا غوښتنه URI غیرقانوني حروف لري. S5

6.2 CVE-2026-93479: په سمه توګه د محصول ډیټا اوږدوالی او خوندي شوي اوږدوالی ترمنځ توپیر وکړئ

اپ سټریم ژمنه په ورته وخت کې src/http/ngx_http_script.c او src/stream/ngx_stream_script.c تازه کوي. اصلي موخه په لاندې ډول لنډیز کیدی شي:

- n = len;
+ n = 0;
  /* ...计算实际脚本输出长度... */
- value->len = n;
- value->data = ngx_pnalloc(pool, n);
+ value->len = n + len;
+ value->data = ngx_pnalloc(pool, n + len);

دلته، pool د مثالي پیرامیټر نوم دی: اصلي HTTP او Stream تخصیص څرګندونه توپیر لري. بدلون لومړی د سکریپټ محصول اوږدوالی محاسبه کوي ، بیا وروستي تخصیص ته خوندي اوږدوالی اضافه کوي نو محصول خوندي ځای له سره نه لیکي. S6

کله چې پلټنې او بیکپورټ کول، د HTTP/Stream اړوند ارزونکي هم باید پوښل شي؛ یوازې د map د ترتیب ترکیب فایل چیک کول نشي ثابتولی چې نیمګړتیا سمه شوې.

6.3 CVE-2026-97205: د 8-bit غیر متناسب عملیاتو شمیر لپاره د خوندیتوب حد ټاکل

Upstream په src/http/ngx_http_request.h کې اضافه شوی:

#define NGX_HTTP_MAX_BLOCKED 250

او د غیر متناسب فایل لوستلو ، کیچ انتظار کولو ، د محصول فلټر کولو او تار عملیاتو ته ورته ننوتل اضافه کړئ:

if (r->main->blocked >= NGX_HTTP_MAX_BLOCKED) {
    /* 使用同步路径，或者拒绝新的异步操作 */
}

د بیاکتنې تمرکز: ټولې اصلي کوډ لارې چې r->main->blocked به اضافه کړي باید پوښل شي. تاسو نشئ کولی یوازې د سرلیک فایل کې د حد دوام ولیکئ. بیکپورټ هم اړتیا لري چې د همغږي فال بیک بشپړ همغږي چیک کړي ، غیر متمرکز کال بیک او د غلطۍ راستنیدل ترڅو ډاډ ترلاسه شي چې ځنډ یا د حوالې لیک به د دندو مستقیم ردولو لامل نشي. S7

6.4 CVE-2026-95101: د نامعلوم چوکاټونو لپاره په جلا توګه د skip حالت ساتل

پورته جریان د HTTP/3 پارسر حالت جوړښت کې د skip ساحه اضافه کوي او د وضعیت جلا کول ترسره کوي:

if (st->type != NGX_HTTP_V3_FRAME_DATA && st->length > 0) {
    st->skip = st->length;
    st->length = 0;
    st->state = sw_skip;
}
/* ... */
rc = ngx_http_v3_parse_skip(b, &st->skip);

کلیدي د “نامعلوم HTTP/3 چوکاټونو غیر فعالول” ندي ، مګر د دې لپاره چې ډاډ ترلاسه شي چې په ډیری لوستلو کې ، د پریښودل شوي بایټ شمیره او د DATA پایلوډ اوږدوالی تل د خپلواکو هیوادونو لخوا اداره کیږي. بیاکتنې باید د نامعلوم چوکاټ کراس بفر شارډینګ باندې تمرکز وکړي، او د client_max_body_size وروستی دوام. S8

6.5 CVE-2026-97629: بشپړ TLS کلیدي سلاټ سرې همغږي کړئ

پورته بدلونونه په src/event/ngx_event_openssl.c کې موقعیت لري:

  ngx_memcpy(keys->elts, cache->ticket_keys,
-            2 * sizeof(ngx_ssl_ticket_key_t));
+            keys->nelts * sizeof(ngx_ssl_ticket_key_t));

اصلي عکس درې کلیدي سلاټونه لري، مګر یوازې لومړی دوه کاپي شوي. پرځای یې، د صف عناصرو د ریښتینې شمیرې پراساس همغږي کول ترڅو ډاډ ترلاسه شي چې د Worker د رایې ورکولو کلیدي سیټ د شریکې حافظې سره مطابقت لري. کله چې بیاکتنه کوئ، دا هم تایید کړئ چې د صف تخصیص، ابتدايي، شریک تالا او د گردش منطق مطابقت لري، د دې پرځای چې یوازې یو ځل د memcpy اوږدوالی تعدیل وګورئ. S9

6.6 ولې دا سپارښتنه نه کیږي چې یوازې ویشل شوي پیچ ټوټې پلي کړئ؟

دا پنځه اصالحات په ترتیب سره src/http، src/stream، src/http/v3، او src/event پراخوي، او زاړه نسخې ممکن امنیتي بیکپورټونه او غیر رسمي توسیعونه ولري. بیکپورټینګ باید لاندې چیک میټریکس جوړ کړي:

اعتراض چک کړئ	هغه څه چې باید تایید شي
د پیچ سرچینه	رسمي سپارل، د هدف نسخه سره سمون، بشپړ پیچ او د لاسلیک تصدیق
اصلي پیچ سیټ	د تاریخي بدلونونو سره ټکر نه کوي لکه CVE-2026-42533، د توزیع بیک پورټ، او نور.
کوډ لاره	HTTP + Stream سکریپټ، AIO/thread، HTTP/3، OpenSSL ټکټونه ټول پوښل شوي
تالیف شوی مطابقت	OpenSSL، PCRE، ماډل ABI، متحرک ماډل او د لینک انحصارونه یوشان دي
فعاله رجعت	alias بیا لیکل، متحرک لاګ، SSI/AIO، HTTP/3 اپلوډ، mTLS سیشن بیا پیلول
منډې وخت	ټول Worker/Pods نوي تایید شوي جوړونه پرمخ وړي، هیڅ میراثي عکسونه پاتې ندي

د هغو ټیمونو لپاره چې خپل ریلیزونه ساتي، دا سپارښتنه کیږي چې د هر CVE لپاره د پلټنې وړ پیچ IDs، د بستې نسخې، د لاګونو جوړول، او د راجستر راپورونه وساتئ؛ د عادي عملیاتو او ساتنې لپاره، ترټولو خوندي حل د پلورونکي بشپړ امنیتي تازه معلومات نصب کول دي.

7. تاریخي زیانمنتیا بیرته راګرځول، زاړه څانګې او نور محصولات

7.1 NGINX اصلي زیان د می څخه تر سپټمبر 2026 پورې د یوځل تایید وړ

ډیری NGINX مثالونه چې د اوږدې مودې لپاره نوي شوي ندي یوازې د اکتوبر په میاشت کې د نوي مسلې لخوا اغیزمن شوي. لاندې په نږدې راتلونکي کې د نمایندګۍ ترمیم نوډونه دي: S1S2

CVE	لومړی د خوشې کولو اصلاح کول	کلیدي خطرونه او شرایط چې پلټنې ته اړتیا لري
CVE-2026-42945	Stable 1.30.1 / Mainline 1.31.0، د می 13	rewrite د نامناسب ریجیکس نیول او د ځای پرځای کولو منطق د هپ اوور فلو لامل کیږي، احتمالي RCE؛ د وحشي بریدونو د هڅو په اړه عامه راپورونه شتون لري
CVE-2026-9256	Stable 1.30.2 / Mainline 1.31.1، د می 22	په rewrite کې د ریجیکس نیول او اوږدوالی اټکل د اوور فلو لامل کیږي
CVE-2026-42055	Stable 1.30.3 / Mainline 1.31.2، د جون 17	HTTP/2 د پورته یا gRPC لپاره ځانګړی ترتیب، د لوی غوښتنې سرلیک حالت د بفر اوور فلو لامل کیږي
CVE-2026-42530	Mainline 1.31.2، د جون 17	HTTP/3 استعمال - وروسته - وړیا؛ رسمي نښه اغیزمنه حد 1.31.0–1.31.1
CVE-2026-42533	Stable 1.30.4 / Mainline 1.31.3، جولای 15	map + regex capture متغیر ارزونه د هپ د زیاتیدو لامل کیږي، او ورپسې پیچونه د اکتوبر په میاشت کې د CVE-2026-93479 سره د ریګریشن اړیکه لري
CVE-2026-60005	Stable 1.30.4 / Mainline 1.31.3، جولای 15	ngx_http_slice_module د حافظې مینځپانګه د ځانګړي متغیر او کیچ تازه شرایطو لاندې لیک شوې
CVE-2026-56434	Stable 1.30.4 / Mainline 1.31.3، جولای 15	SSI د UAF پورې اړه لري; د root د اکتوبر د AIO د شمیرنې زیان منونکي لامل نه دی
CVE-2026-90439	Stable 1.30.5 / Mainline 1.31.6، د سپتمبر 15	د HTTP/3 + ځانګړي OpenSSL نسخه ترکیب محدود هپ فلو ، په عمده ډول د حادثې/محدود حافظې فساد په توګه څرګند شوی

نور زیانونه لکه NGINX Core، HTTP/2، چارسیټ، او SMTP په 2026 کې اعلان شوي باید د رسمي امنیتي بلټینونو سره سم وڅیړل شي؛ دا جدول په قصدي ډول په عادي پیښو تمرکز کوي چې د اوسني NGINX عامه مخ په وړاندې د ریورس پراکسي ګمارلو سره خورا اړونده دي او د حافظې خوندیتوب لري یا د بشپړتیا اغیزې غوښتنه کوي. په 2026 کې ټول CVEs ندي. لیست. S1

ولې CVE-2026-42945 ته ځانګړې پاملرنه وکړئ

د حکومتي ادارو څخه امنیتي خبرتیاوې شتون لري چې د می په میاشت کې د دې rewrite زیان مننې لپاره په ځنګل کې د استخراج فعالیتونه او د عامه استحصال کوډ معلومات ثبتوي. له همدې امله ، د مثالونو لپاره چې د می څخه تر نن ورځې پورې د اوږدې مودې لپاره پیچ شوي ندي او په عامه شبکه کې پیچلي منظم بیان بیا لیکل شوي دي ، د ترمیم بشپړولو سربیره ، غیر معمولي Worker حادثه ، د لاسرسي لاګونه او په دې وخت کې مشکوک بدلونونه باید اضافي بیاکتنه وشي. S23

“د برید هڅه وشوه” په اتوماتيک ډول دا نه ثابتوي چې برید کوونکي په هر هدف کې په ډاډمنه توګه امرونه اجرا کړي؛ کله چې د پیښې غبرګون ښکیل وي، د جوړجاړي شاخصونه او د پروسې حادثې باید د امتیازاتو د زیاتوالي یا دوام له ریښتیني شواهدو څخه جلا وڅیړل شي.

7.2 د زړو نسخو او توزیع بیک پورټونو لپاره درملنه

NGINX مختلف څانګې خپل د ملاتړ دورې او مختلف زیان منونکي معرفي وختونه لري. پنځه نوي پیچونه د بیاکتنې پرته د ټولو لومړنیو سرچینو ونو ته نشي لیږدول کیدی.

صحنه	وړاندیز شوی ستراتیژي
د ریلیز نسخه بشپړ امنیت پیچ اعلان کړ	د پلورونکي کڅوړې وکاروئ او د بشپړ کڅوړې نسخې سند کړئ؛ د نامناسب اپ سټریم بائنریونو سره د ځای په ځای کولو څخه مخنیوی وکړئ
Debian 12 او نور اغیزمن شوي ریلیزونه چې لاهم پدې بیچ کې د ټولو CVEs لخوا پوښل شوي ندي	د خطر د کار امرونه وسپارئ، بهرنۍ افشا کول محدود کړئ، او د عرضه کوونکي/ELTS حالت وګورئ؛ مهاجرت وکړئ یا د اړتیا په وخت کې د تصدیق وړ ساتنې خوشې کولو سلسله وکاروئ
تاریخي څانگې چې د اپوټریټ ملاتړ پای ته رسیدلی	ملاتړ شوي نسخو ته مهاجرت ته لومړیتوب ورکړئ؛ که لنډمهاله بیکپورټینګ اړین وي، ساتونکي به د انحصار او پیچ مطابقت ارزونه وکړي، او بشپړ ازموینې ولولي.
د NGINX فورک سره راځي (OpenResty، Tengine، دودیز شوي دروازې)	لومړی وټاکئ چې ایا د اړونده کوډ لاره شامله ده، او بیا د فورک ساتونکي امنیت بیان وکاروئ. دا نشي کولی په مستقیم ډول د اپ سټریم نسخه سره مساوي وي.
امنیتي پیچ د سوداګرۍ فعالیت کې د بدلون لامل کیږي	مرحله شوي رول آوټ غوره کړئ ، د نسخو ترمینځ ترافیک بدلول ، او د تنظیم کولو موافقت؛ دا مناسبه نده چې د عامه شبکې غیر ثابت نسخه له جلا کیدو پرته بیرته راګرځول شي.

7.3 د njs، Ingress او NGINX کور لپاره جلا درملنه

• njs: د NGINX اصلي برنامه سربیره ، تاسو اړتیا لرئ پخپله د NGINX جاواسکریپټ ماډل نسخه چیک کړئ. njs 1.0.2 د اکټوبر 2026 XML پارس کولو حافظه ستړیا او د XML تایید کولو ناانډولۍ مسله د ادارې حوالې ځانګړتیاو سره حل کوي. د nginx-saml په کارولو سره د XML لاسلیک تصدیق سره تړلو ګمارلو لپاره، تاسو باید د پلگ ان سناریوګانو لپاره رسمي njs لارښوونې نور ولولئ. S20
• F5 NGINX Plus / NGINX د ننوتلو کنټرولر: پلس، کنټرولر او د ګیټ وے فیبریک ممکن هر یو اضافي امنیتي بلیټینونه، د بسته بندۍ مختلف نسخې او ځانګړي پالیسۍ زیانمننې ولري. د یوې پرت لوړول پدې معنی ندي چې په اتوماتيک ډول د بل پرت تازه کول. S19
• Kubernetes ټولنه ingress-nginx: Kubernetes چارواکو لا دمخه اعلان کړی چې کنټرولر د مارچ په 2026 کې ساتنه بنده کړې، او د دې ګودام د F5 کنټرولر سره ګډوډ کیدی نشي. اغیزمن شوي سوداګرۍ باید د نوي امنیت نسخې ته د انتظار کولو پرځای د انګریس تشریحات او Gateway API سیمانټیک توپیرونه سم مهاجرت پلان کړي او تصدیق کړي. S21

8. د منلو معیارونه او تعقیبي معاینات

دا سپارښتنه کیږي چې لاندې لیست د کار امرونو د بدلون لپاره د منلو شرایطو په توګه وکارول شي:

پروژه	د وړتیا معیارونه	هغه شواهد چې ساتل کیدی شي
شتمنۍ او پورټل پوښښ	ټول بهرني او مستقیم وصل شوي مثالونه چې کولی شي د CDN څخه تیر شي اختراع شوي.	د ډومین نوم، LB، IP، پوډ / کانټینر لیست
د بسته بندۍ سرچینه او د ترمیم ساحه	د ټولو پلي کیدو CVEs پوښلو لپاره تایید شوي نسخې وکاروئ	د اپ سټریم امنیت مشوره، USN/DSA، د بسته بندي نسخه، د عکس هضم
زوړ بهیر وځي	ټول زاړه master/worker/کانټینرونه بدل شوي	PID/ د پیل وخت، د ګومارلو حالت، روان انځور
د ترتیب پلټنه	د لوړ خطر ترکیبونه له مینځه وړل شوي یا د پیچونو پوښل شوي، او د میراث اړیکې تایید شوي	د nginx -T لنډیز او د پلټنې ریکارډ ترمیم شوی
TLS/mTLS	د باور وړ سندونه پاس کول؛ ناسم یا ورک شوي سندونه رد شوي؛ د سیشن بیا پیل کول تصدیق نه کوي	د منفي/مثبت جواز ازموینه، د TLS ازموینې پایلې کنټرول شوي
HTTP/3 غوښتنه بدن	ثابته لاره فعاله کړئ؛ upstream غوښتنه بدن او throttling په سمه توګه چلند کوي	HTTP/3، پراکسي اپلوډ، د حجم محدودیت ریګریشن ازموینه
SSI/AIO	فنکشن اړتیاوې پوره کوي، Worker هیڅ غیر معمولي مخنیوی نلري	د سوداګرۍ راجستریشن، د حادثې او د تېروتنې کچه څارنه
د عملیاتو او ساتنې څارنه	هیڅ ښکاره استثنا نشته 5xx، SIGSEGV، پروسه په مکرر ډول بهر کیږي	د خدماتو شاخصونه او د بدلونونو دمخه او وروسته لاګ
د بیرته راستنیدو تګلاره	که رول بیک اړین وي، لومړی د افشا کول محدود کړئ او د امنیت سرحدونه وساتئ	امرونه، بیړني جریان، او قرنطین پلانونه بدل کړئ
د ژوند دوره	د امنیتي بلیټین ګډونونه، د کانټینر تازه کولو فریکوینسي، او د څانګې مهاجرت پلانونه مشخص کړئ	لیجر، مسؤل شخص او د پلټنې راتلونکې نیټه لوړول

8.1 تاسو باید په لاګونو او چلولو حالت کې څه تمرکز وکړئ؟

په سرورونو کې غیر معمولي ستونزې حل کړئ چې د اوږدې مودې لپاره افشا شوي worker process exited on signal 、SIGSEGV، د ناکامۍ سپیکونو غوښتنه کول، غیر معمولي سرچینې ته د لاسرسي راټولول، غیر متوقع TLS سیشن بیا پیل کول او د بدن د اعتباري چلند بیرته ستنیدو غوښتنه. دا شاخصونه یوازې د تحقیقاتي نښو په توګه کارول کیدی شي او کافي شواهد ندي چې مستقیم ثابت کړي چې یو ځانګړي CVE کارول شوی. د اړوندو لاګونو نشتوالی دا نه ثابتوي چې برید نه دی شوی.

8.2 د وروستي خطر پایلې کلمې وړاندیز شوي

د تولید چاپیریال لپاره د منلو راپور باید لاندې دقیق بیان وکاروي:

NGINX د بهرني خدمت ننوتلو او د سافټویر کڅوړې سرچینه پیژندل شوې. ټول پلي شوي مثالونه د اپسټریم رسمي امنیت نسخه ته لوړ شوي ، یا د خوشې پلورونکي لخوا تایید شوی بیک پورټ بشپړ شوی؛ زاړه Worker او زاړه کانټینرونه ځای په ځای شوي دي. عرف/بیا لیکل/نقشه، AIO/SSI، HTTP/3 د غوښتنې بدن او TLS سیشن ټیکټ/mTLS اړوند تشکیلات پلټل شوي او د فعالیت او بیاکتنې غوښتنې ازموینې کې بریالي شوي. د مثالونو لپاره چې لا تر اوسه یې اپ گریڈ نه دی بشپړ کړی، سربیره پردې د افشا کولو ساحې ثبت کړئ، د خسارې اقدامات، مسؤل کسان، او د بشپړولو نیټه.

که چیرې د Debian 12 یا نورو خپرونو لپاره پیچ لاهم نیمګړی وي، نو دا مناسبه نه ده چې د منلو ټول فورمه د “بشپړ شوي” په توګه قضاوت وکړئ؛ غیر حل شوی CVE، ایا د اړونده محرک ترتیب شتون لري، د جلا کولو حالت او د وروستي اپ گریڈ لاره باید په واضح ډول ثبت شي.

---

ضمیمه: حواله شوي سرچینې او لینکونه

توضیحات: په متن کې د [Sx] شمیرې په ورته ډول د دې برخې سره مطابقت لري. لاندې د پروژې امنیت اعلانونو، کوډونو، د عرضه کوونکي خوشې کولو اعلانونو او د ملي امنیت ادارې معلوماتو ته لومړیتوب ورکوي. د ذکر شوي زیانونو شدت د هرې جاري کونکي سازمان د درجه بندي معیارونو سره سم بیان شوی؛ د معلوماتو تایید نیټه د اکتوبر 27، 2026 ده.

S1 — NGINX Open Source رسمي امنیتي خبرتیا

• https://nginx.org/en/security_advisories.html

د اپسټریم اغیزمن شوي نسخې لري، د څانګو درستول، او د اکتوبر د پنځو CVEs رسمي شدت کچه، او همدارنګه د 2026 پورې تاریخي زیانونه هم پوښي.

S2 - NGINX رسمي نسخه د خپرولو ریکارډ

• https://nginx.org/news.html
• https://nginx.org/en/CHANGES-1.30

د 1.30.6 / 1.31.7 د 2026-10-14، 1.31.8 د 2026-10-21، او د می څخه تر سپټمبر پورې د امنیت د خوشې کولو مهم پړاوونه تایید کړئ.

S3 - د سنګاپور د سایبر امنیت اداره: F5 NGINX درې جدي زیانونه

• https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-150/

د CVSS v4.0 9.2 نمرو توضیحات، د ترتیب کولو اړین شرایط، او د CVE-2026-15176، CVE-2026-93479، او CVE-2026-97205 لپاره د لنډمهاله کمولو سپارښتنې.

S4 - NHS انګلستان: F5 NGINX د لوړ خطر مشوره

• https://digital.nhs.uk/cyber-alerts/2026/cc-4872

د حافظې خوندیتوب مسلو د DoS / احتمالي RCE اغیزې بیانوي، او خنډونه لکه ASLR بند یا تیریدل.

S5 - د رسمي سرچینې ژمنه: CVE-2026-15176

• https://github.com/nginx/nginx/commit/f8a23425bd6840c4c36b4264edf576ba3646156f

د alias او r->uri_changed په ngx_http_map_uri_to_path() کې د وضعیت چک سره مطابقت لري.

S6 - د رسمي سرچینې ژمنه: CVE-2026-93479

• https://github.com/nginx/nginx/commit/6aa4b3fdd4fdc156153f2981eb4070690624447c

د HTTP/Stream سکریپټ اوږدوالی او د بفر تخصیص منطق سره مطابقت لري.

S7 - رسمي سرچینه ژمنه: CVE-2026-97205

• https://github.com/nginx/nginx/commit/6adfc05ece48f92446383ec1f145446848694698

د r->main->blocked شمېرنې حد NGX_HTTP_MAX_BLOCKED 250 او د غیر متناسب لارې فال بیک سره مطابقت لري.

S8 - د رسمي سرچینې ژمنه: CVE-2026-95101

• https://github.com/nginx/nginx/commit/1c173a2d8767730e678c27446138d7ae5dd6fd64

د حالت جلا کول د HTTP/3 نامعلوم چوکاټ پاتې اوږدوالی او DATA د بدن اوږدوالی غوښتنه کوي.

S9 - د رسمي سرچینې ژمنه: CVE-2026-97629

• https://github.com/nginx/nginx/commit/1916f26e6ca49296568633d309777e36527e5bb2

د TLS سیشن ټیکټ گردش همغږي کولو پرمهال د ټولو کلیدي سلاټونو سره مطابقت لري.

S10 — F5: CVE-2026-15176 د پلورونکي اعلان

• https://my.f5.com/manage/s/article/K000162416

د محرک عوامل لیست کړئ لکه alias، rewrite، $request_filename او د لاسرسي لاګ.

S11 — F5: CVE-2026-93479 د پلورونکي اعلان

• https://my.f5.com/manage/s/article/K000162607

د نقشې regex کیپچر، root لاره، او د تغیر وړ ارزونې شرایط لیست کړئ.

S12 — NGINX رسمي TLS/SSL ماډل اسناد

• https://nginx.org/en/docs/http/ngx_http_ssl_module.html

تفصیل ssl_session_cache، ssl_session_tickets، ssl_session_ticket_key او د پیرودونکي سند تصدیق او نور لارښوونې.

S13 — امنیتي مشوره: Ubuntu USN-8955-1 (2026-10-26)

• https://ubuntu.com/security/notices/USN-8955-1

د Ubuntu 22.04 / 24.04 / 26.04 / 26.10. د بشپړ سافټویر کڅوړه ټاکل شوې نسخه او د توزیع ساحه چمتو کړئ

S14 — امنیتي مشوره: Debian DSA-6575-1 (2026-10-21)

• https://lists.debian.org/debian-security-announce/2026/msg00490.html

د Debian 13 / trixie لپاره د امنیت فکس کڅوړه 1.26.3-3+deb13u10 تایید کړئ، او د CVE-2026-93479 لپاره د بیک پورټ اتحادیه ثبت کړئ.

S15 — د زیان مننې تعقیب: Debian Security Tracker: CVE-2026-15176

• https://security-tracker.debian.org/tracker/CVE-2026-15176

د Debian 12 / bookworm او Debian 13 / trixie د توزیع فکس حالت تصدیق کولو لپاره کارول کیږي. دا حالت ممکن د راتلونکي امنیت تازه معلوماتو سره بدل شي.

S16 — د زیان مننې تعقیب: Debian Security Tracker: CVE-2026-95101

• https://security-tracker.debian.org/tracker/CVE-2026-95101

د Debian په مختلفو څانګو کې د HTTP/3 زیان منونکي امنیتي وضعیت اضافي تایید.

S17 — امنیتي مشوره: Red Hat: CVE-2026-93479

• https://access.redhat.com/security/cve/cve-2026-93479

د اکتوبر د ریګریشن زیانمننې او د جولای CVE-2026-42533 لپاره د فکس تر مینځ د ارتباط ضمیمه پوهه.

S18 — NGINX رسمي ریورس پراکسي ماډل سند

• https://nginx.org/en/docs/http/ngx_http_proxy_module.html
• https://nginx.org/en/docs/http/ngx_http_core_module.html

د ترتیبونو سیمانټیک او ډیفالټ ارزښتونه وپوښتئ لکه proxy_request_buffering، client_max_body_size، alias، aio، او داسې نور.

S19 — NGINX Plus رسمي خوشې یادښتونه

• https://docs.nginx.com/nginx/releases/

د پلس CR/LTS څانګو، نسخو، پیچونو او د مطابقت یادداشتونو لوړولو لیست لیست کړئ.

S20 — NGINX JavaScript / njs رسمي امنیتي خبرتیا

• https://nginx.org/en/docs/njs/security.html
• https://nginx.org/en/docs/njs/changes.html

د اکتوبر 2026 njs 1.0.2 او اړوند XML تایید، د حافظې د ختمولو مسلې لري.

S21 — Kubernetes: د ټولنې ingress-nginx رسمي تقاعد لارښوونې

• https://kubernetes.io/blog/2025/11/11/ingress-nginx-retirement/
• https://kubernetes.io/blog/2026/01/29/ingress-nginx-statement/

په یاد ولرئ چې پروژې د مارچ په 2026 کې نوي ریلیزونه او امنیتي اصلاحات ودرول، او دا سپارښتنه کیږي چې ساتل شوي کنټرولر یا Gateway API مهاجرت وکړي.

S22 — NGINX رسمي خدماتو کنټرول او آنلاین بائنری اپ گریڈ لارښوونې

• https://nginx.org/en/docs/control.html

د پروسې بدلولو منلو لپاره د تنظیم کولو بیالوډ کولو ، بیا پیل کولو او آنلاین اجرا وړ فایل اپ گریڈ میتودونو توپیر وکړئ.

S23 - د حکومت امنیتي خبرتیا: می 2026 NGINX بیا لیکلو زیانمنتیا

• https://its.ny.gov/2026-051
• https://www.govcert.gov.hk/en/alerts_detail.php?id=1881

د CVE-2026-42945 لپاره د تاریخي خطر شالید او د امنیت تازه کولو وړاندیزونه چمتو کړئ؛ په ځنګل کې د استخراج په اړه قضاوت باید د ادارې د اعلان په وخت کې او د نورو پیښو شواهدو پر بنسټ وي.

S24 — F5: CVE-2026-95101 او CVE-2026-97629 د پلورونکي اعلانونه

• https://my.f5.com/manage/s/article/K000162613
• https://my.f5.com/manage/s/article/K000162606

په ترتیب سره د HTTP/3 غوښتنې د بدن انجیکشن او اتوماتیک TLS ټکټ کلیدي گردش خطرونه پوښي.

S25 — F5: CVE-2026-97205 د پلورونکي اعلان

• https://my.f5.com/manage/s/article/K000162608

توضیحات SSI/AIO محرک شرایط او د حافظې احتمالي فساد خطرونه.

NGINX امنیت تازه کول: د تشکیلاتو چکونه، نوي کول او تایید کول