Дата исторической статьи: 2026-10-14 (дата раскрытия информации и безопасности). Источники проверены и информация дополнена через 2026-10-27.

Событие и влияние

NGINX выпустил Stable 1.30.6 и Mainline 1.31.7 на 2026-10-14, исправив пять основных уязвимостей: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 и CVE-2026-97629. Они влияют на сопоставление путей, оценку переменных, асинхронные файловые операции, тела запросов HTTP/3 и билеты сеанса TLS. Экспозиция зависит от конфигурации; не каждое развертывание NGINX уязвимо для удаленного выполнения кода.

Приоритетные действия

  1. Для исходных пакетов соблюдайте отдельные базовые версии исправлений Stable 1.30.6 или Mainline 1.31.7. Mainline 1.31.8 был доступен на более позднюю дату проверки. Для дистрибутивных пакетов и NGINX Plus проверьте ветку поставщика и полную версию пакета.
  2. Комбинации аудита, включающие alias, rewrite, map, SSI/AIO, HTTP/3 и общие кэши сеансов TLS. Установите приоритет общедоступных конечных точек и служб, используя проверку подлинности сертификата клиента.
  3. Проверьте конфигурацию, затем перезапустите или разверните замены для каждого старого экземпляра. Обычная перезагрузка конфигурации не доказывает, что живой двоичный файл был обновлен.

Проверка и последующее наблюдение

Убедитесь, что реальные конечные точки используют фиксированные пакеты или образы, а также протестируйте загрузку через прокси, ограничения тела запроса, маршрутизацию и аутентификацию сертификата клиента. WAF, ASLR и временные изменения конфигурации не могут заменить исправления. Нельзя предполагать, что статус исправления одного дистрибутива применим к другому.

Эта статья заархивирована под датой события 14 октября и включает более позднюю информацию. Прочитайте полное руководство по уязвимостям NGINX и их устранению, чтобы узнать о затронутых конфигурациях, исправлениях для конкретных ветвей, механизмах исправлений, временных средствах устранения и официальных источниках.