NGINX பாதிப்புகள்: காரணங்கள், திருத்தங்கள் மற்றும் உற்பத்தி சரிபார்ப்பு

வரலாற்று கட்டுரை தேதி: 2026-10-14 (வெளிப்படுத்தல் மற்றும் பாதுகாப்பு வெளியீட்டு தேதி). ஆதாரங்கள் சரிபார்க்கப்பட்டு, 2026-10-27 மூலம் கூடுதல் தகவல்.

இந்த கட்டுரை நிகழ்வு தேதியின்படி காப்பகப்படுத்தப்பட்டுள்ளது; அக்டோபர் 14 க்குப் பிறகு வெளியிடப்பட்ட பதிப்பு மற்றும் வெளியீட்டு புதுப்பிப்புகள் கீழே சேர்க்கப்பட்டுள்ளன. பார்வையாளர்கள்: NGINX Open Source / NGINX Plus இணையதளம் மற்றும் ரிவர்ஸ் ப்ராக்ஸி செயல்பாடு மற்றும் பராமரிப்பு பணியாளர்கள், பாதுகாப்பு பதில் பணியாளர்கள், விநியோக பராமரிப்பாளர்கள், அத்துடன் NGINX ஐ சுயமாக தொகுத்து மூன்றாம் தரப்பு தொகுதிகளை பராமரிக்கும் பொறியாளர்கள்.

இந்தக் கட்டுரை, அக்டோபர் 14, 2026 அன்று வெளிப்படுத்தப்பட்ட மற்றும் தீவிரமாக சரி செய்யப்பட்ட ஐந்து NGINX முக்கிய பாதிப்புகள் மீது கவனம் செலுத்துகிறது, மேலும் 2026 மே முதல் செப்டம்பர் வரையிலான பிரதிநிதி நினைவகப் பாதுகாப்பு மற்றும் கோரிக்கை ஒருமைப்பாடு பாதிப்புகள் ஆகியவற்றைப் பார்க்கிறது. நடவடிக்கைகள், அதிகாரப்பூர்வ பேட்ச் செயல்படுத்தல், பழைய கிளைகளுக்கான பேக்போர்ட்கள் மற்றும் உற்பத்தி சரிபார்ப்பு. S1 போன்ற குறிப்புகள் மூல இணைப்புடன் இணைக்கப்பட்டுள்ளன. எடுத்துக்காட்டு உள்ளமைவுகள் வரிசைப்படுத்தல் மற்றும் தணிக்கை யோசனைகளை விளக்குவதற்கு மட்டுமே பயன்படுத்தப்படுகின்றன, மேலும் செயல்படுத்துவதற்கு முன் உண்மையான பதிப்பு, உள்ளமைவு மரபுரிமை, சார்புநிலைகள் மற்றும் வணிகத் திறன் ஆகியவற்றின் அடிப்படையில் சரிபார்க்கப்பட வேண்டும்.

TL;DR: முன்னுரிமை நடவடிக்கைகள்

1. பாதுகாப்பு மேம்படுத்தல்களுக்கு முன்னுரிமை கொடுங்கள். க்கு nginx.org திறந்த மூல தொகுப்புகள், புதுப்பிக்கவும் Stable 1.30 குறைந்தபட்சம் கிளை 1.30.6 மற்றும் தி Mainline 1.31 குறைந்தபட்சம் கிளை 1.31.7. சரிபார்ப்பு தேதியில், 1.31.8 சமீபத்தியது Mainline விடுதலை. இவை தனி கிளை அடிப்படைகள்; கிளைகள் முழுவதும் அவற்றின் எண்ணிக்கையை ஒப்பிட வேண்டாம். S1 S2
2. முழு தொகுப்பு பதிப்பு மூலம் விநியோக நிறுவல்களை சரிபார்க்கவும். Ubuntu 22.04 / 24.04 / 26.04 / 26.10 விற்பனையாளர் பேக்போர்ட்கள் உள்ளன; Debian 13 (trixie) க்கு குறைந்தபட்சம் 1.26.3-3+deb13u10 தேவை. சரிபார்ப்பில், Debian 12 (bookworm) தொகுப்பு 1.22.1-9+deb12u10 இன்னும் பாதிக்கப்பட்டுள்ளதாகக் குறிக்கப்பட்டுள்ளது. ஒவ்வொரு CVE ஐ சரிபார்க்கவும்; Debian 13 ஆலோசனையானது Debian 12 நிலையானது என்பதை நிறுவவில்லை. S13S14S15
3. ஐந்து உள்ளமைவு சேர்க்கைகளைத் தணிக்கை செய்யவும்: alias + rewrite + $request_filename , map + regex + மாறி மதிப்பீடு, aio + ssi + include virtual , HTTP/3 உடன் proxy_request_buffering on , மற்றும் ssl_session_cache shared:... தானியங்கி கொண்டு TLS அமர்வு டிக்கெட் விசை சுழற்சி. ஒரு உத்தரவின் இருப்பு மட்டுமே சுரண்டலை நிறுவாது; கோரிக்கை பாதை மற்றும் கட்டமைப்பு நோக்கத்தை மதிப்பிடவும். S1 S3 S4
4. அனைத்து பழைய செயல்முறைகள் மற்றும் கொள்கலன்களை மாற்றவும். nginx -t ஐ இயக்கவும், பின்னர் சேவையை மறுதொடக்கம் செய்யவும் அல்லது அதிக கிடைக்கும் ரோலிங் வரிசைப்படுத்தலை செய்யவும். பழைய master/worker செயல்முறைகள் வெளியேறிவிட்டன என்பதை உறுதிப்படுத்தவும்; nginx -s reload மட்டும் இயங்கும் பைனரி மாறிவிட்டது என்பதை நிரூபிக்கவில்லை.
5. உண்மையான இறுதிப்புள்ளிகளைச் சரிபார்க்கவும்: HTTP/1.1, HTTP/2, HTTP/3 இயக்கப்பட்டிருந்தால், ப்ராக்ஸி பதிவேற்றங்கள் மற்றும் API கோரிக்கை அமைப்புகள், mTLS சான்றிதழ் அங்கீகாரம், SSI பக்கங்கள் மற்றும் அணுகல் பதிவுகள். ஒவ்வொரு முடிவுப் புள்ளிக்கும் தொகுப்பு ஆதாரம், பதிப்பு, பட செரிமானம், இயங்கும் செயல்முறைகள் மற்றும் முடிவுகளைப் பதிவுசெய்க.
6. உடனடி மேம்படுத்தல் சாத்தியமில்லை என்றால், பொருந்தக்கூடிய தூண்டுதல் நிபந்தனைகளை அகற்றவும்: தேவையற்றதை முடக்கவும் SSI / AIO அல்லது HTTP/3 , மதிப்பாய்வு பாதிக்கப்படக்கூடியது alias / rewrite / map மாறி குறிப்புகள், மற்றும் தற்காலிக மதிப்பீடு ssl_session_tickets off; பாதிக்கப்பட்டவர்களுக்கு mTLS சேவைகள். WAF , ASLR , விகித வரம்புகள் மற்றும் உள்ளமைவு மாற்றங்கள் சில நிபந்தனைகளை மட்டுமே உள்ளடக்கியது மற்றும் அதிகாரப்பூர்வ இணைப்புகளை மாற்ற முடியாது. S3 S4 S8 S12

1. பாதிப்பு மேலோட்டம் மற்றும் இடர் தீர்ப்பு

NGINX 1.30.6 (Stable) மற்றும் 1.31.7 (Mainline) ஆகியவற்றை அக்டோபர் 14, 2026 அன்று வெளியிட்டது, ஐந்து பாதுகாப்புச் சிக்கல்களைச் சரிசெய்தது. மூன்று ஹீப் ஓவர்ஃப்ளோக்கள் அல்லது பயன்பாட்டிற்குப் பின் இல்லாதவை மற்றும் 9.2 / முக்கியமான F5 CVSS v4.0 மதிப்பெண்களை உள்ளடக்கியது. மற்ற இரண்டு HTTP/3 கோரிக்கை ஒருமைப்பாடு மற்றும் TLS கிளையன்ட் சான்றிதழ் அங்கீகாரத்தைப் பாதிக்கிறது. S1S2S3

மதிப்பீட்டு அமைப்புகளை வேறுபடுத்துங்கள்: nginx.org அனைத்து ஐந்து சிக்கல்களையும் medium என பட்டியலிடுகிறது, அதே நேரத்தில் F5 CVSS v4.0 மற்றும் சில தேசிய பாதுகாப்பு நிறுவனங்கள் மூன்று நினைவக சிக்கல்களை முக்கியமானதாக வகைப்படுத்துகின்றன. இந்த ஐந்துமே நிபந்தனையற்ற ரிமோட் குறியீடு செயல்படுத்தலை அனுமதிக்கின்றன என்று அர்த்தமல்ல. உள்ளமைவு, போக்குவரத்து அணுகல் மற்றும் தாக்குபவர்களின் கட்டுப்பாட்டுக்கு வெளியே உள்ள நிலைமைகள். நினைவக சிதைவு மற்றும் நம்பகமான RCE ஆகியவை வெவ்வேறு நிலை ஆதாரங்கள். S1S3S4

CVE	தொழில்நுட்ப சிக்கல்கள் மற்றும் வழக்கமான தூண்டுதல் நிலைமைகள்	முக்கிய தாக்கம்	மதிப்பீடு மற்றும் அகற்றல்
CVE-2026-15176	alias பாதை மேப்பிங் + rewrite மாற்றம் URI + மதிப்பீடு $request_filename	ஹீப் பஃபர் ஓவர்ஃப்ளோ, Worker செயலிழப்பு; சில நிபந்தனைகளின் கீழ் சாத்தியமான RCE	F5 CVSS v4.0 9.2; சிக்கலைத் தீர்ப்பதற்கு முன்னுரிமை கொடுங்கள்
CVE-2026-93479	HTTP/Stream ஸ்கிரிப்ட் மதிப்பீடு, குறிப்பாக map ரீஜெக்ஸ் பிடிப்பு மற்றும் root அடைவு, பதிவு மாறி குறுக்கு குறிப்பு	ஒதுக்கப்பட்ட தாங்கல் மேலெழுதப்பட்டு, குவியல் நிரம்பி வழிகிறது; சில நிபந்தனைகளின் கீழ் சாத்தியமான RCE	F5 CVSS v4.0 9.2; முந்தைய பழுதுபார்ப்புக்குப் பிறகு பின்னடைவு ஆபத்து
CVE-2026-97205	SSI மெய்நிகர் அடங்கும் மற்றும் AIO/ஒத்திசைவற்ற செயல்பாடு; நிலுவையில் உள்ள செயல்பாடு எண்ணிக்கை வழிதல்	பயன்பாடு-இலவசம், Worker செயலிழப்பு, நினைவக சிதைவு; சாத்தியமான RCE	F5 CVSS v4.0 9.2; இயல்புநிலை அல்லாத கட்டமைப்பு தேவை
CVE-2026-95101	HTTP/3 அறியப்படாத சட்டகம் இடையகங்கள் முழுவதும் துண்டு துண்டாக உள்ளது, ப்ராக்ஸி கோரிக்கை பாடி பஃபரிங் இயக்கப்பட்டது	அப்ஸ்ட்ரீம் கோரிக்கை அமைப்பில் DATA அல்லாத பைட்டுகளை தவறாக உட்செலுத்துதல், ஒருவேளை கோரிக்கை உடல் அளவு வரம்பை மீறும்	இந்த பாதிப்பு கோரிக்கை ஒருமைப்பாட்டை பாதிக்கிறது. இது ரிமோட் குறியீடு செயல்படுத்தலை (RCE) வழங்காது.
CVE-2026-97629	பகிரப்பட்ட TLS அமர்வு கேச், தானியங்கி விசை சுழற்சி மற்றும் Worker விசை பிரதிபலிப்பு	அமர்வு டிக்கெட் மோசடி; பாதிக்கப்பட்ட mTLS சேவைக்கு கிளையன்ட் சான்றிதழ் அங்கீகார பைபாஸ் ஏற்படலாம்	API வகை சான்றிதழ் அங்கீகாரத்தின் வணிக தாக்கத்திற்கு சிறப்பு கவனம் செலுத்தப்பட வேண்டும்

மேலே உள்ள CVSS மதிப்பெண், v4.0 ஐப் பயன்படுத்தி F5 ஆல் வழங்கப்படுகிறது; அதே பாதிப்பு CVSS 3.1, nginx.org சொந்த கிரேடுகள் மற்றும் விநியோக தீவிர மதிப்பீடுகளில் வெவ்வேறு தீவிரத்தை காட்டலாம். S1S3S4

1.1 CVE மதிப்பெண்களை விட வரிசைப்படுத்தல் வெளிப்பாட்டிற்கு முன்னுரிமை கொடுங்கள்

வரிசைப்படுத்தல் படிவம்	முக்கிய விசாரணை புள்ளிகள்	அகற்றுவதற்கான முன்னுரிமை பரிந்துரைகள்
தனிப்பயனாக்கப்பட்ட rewrite, alias மற்றும் சிக்கலான map உட்பட பொது நெட்வொர்க் ரிவர்ஸ் ப்ராக்ஸி	CVE-2026-15176, CVE-2026-93479 மற்றும் மே முதல் ஜூலை வரை பாதிப்புகளை மீண்டும் எழுதுதல்/வரைபடம்	P0: தணிக்கை செய்து உடனடியாக புதுப்பிக்கவும்
API / மேலாண்மை விமானம் கிளையன்ட் சான்றிதழை மட்டுமே அல்லது முக்கிய நுழைவு அங்கீகாரமாகப் பயன்படுத்துகிறது	CVE-2026-97629 இன் அமர்வு டிக்கெட் மற்றும் பகிர்ந்த கேச் உள்ளமைவு	P0: அங்கீகார எல்லையை உடனடியாக உறுதிசெய்து புதுப்பிக்கவும்
வெளிப்புற HTTP/3 பதிவேற்றம், நிலை மாற்ற இடைமுகம், பரிவர்த்தனை வகுப்பு API ஆகியவற்றை வழங்கவும்	CVE-2026-95101, குறிப்பாக கோரிக்கை அமைப்பு பின்தளத்தில் இணைக்கப்பட்டுள்ளது	P0/P1: வணிக முக்கியத்துவத்திற்கு ஏற்ப ஏற்பாடு செய்யுங்கள்
SSI டைனமிக் பக்கம் அல்லது ஒத்திசைவற்ற கோப்பு I/O	CVE-2026-97205	பி1: கலவை நிலைமைகளை உறுதிசெய்து, கூடிய விரைவில் பழுதுபார்க்கவும்
நிலையான பக்கங்கள் + எளிய HTTP/1.1/2 ரிவர்ஸ் ப்ராக்ஸி மட்டுமே	உள்ளமைவு மற்றும் பதிப்பு இன்னும் தணிக்கை செய்யப்பட வேண்டும், ஆனால் சில CVE நிபந்தனைகள் விடுபட்டிருக்கலாம்	பி1: அவசரகால பாதுகாப்பு மேம்படுத்தல் சாளரத்தில் சேர்க்கப்பட்டுள்ளது
ஓய்வுபெற்ற Kubernetes சமூகத்தைப் பயன்படுத்தவும் ingress-nginx	இந்தத் திட்டம் பாதுகாப்புப் பராமரிப்பை நிறுத்துகிறது, மேலும் அபாயங்கள் இந்த ஐந்து CVEக்களுக்கு மட்டும் அல்ல	ஒரு தனிப்பட்ட கட்டுப்படுத்தி இடம்பெயர்வு திட்டத்தை உருவாக்கவும்

P0/P1 என்பது பொது நெட்வொர்க் வெளிப்பாடு மற்றும் சான்றிதழ் உணர்திறனுக்காக இந்தக் கட்டுரையில் கொடுக்கப்பட்டுள்ள செயல்பாடு மற்றும் பராமரிப்பு அகற்றுதல் பரிந்துரைகள் ஆகும். இது அதிகாரப்பூர்வமான CVSS வகைப்பாடு அல்ல, அது நிறுவனத்தின் உள் சொத்தை மாற்றி இடர் மதிப்பீட்டை மாற்றக்கூடாது.

1.2 தாக்க எல்லை மற்றும் தாக்குதல் அனுமதிகள்

இந்தத் தொகுப்பில் உள்ள முக்கிய பாதிப்புகள் முக்கியமாக NGINX டேட்டா பிளேனில் அமைந்துள்ளன: தாக்குதல் நுழைவு புள்ளி கிளையன்ட் இணைப்பு மற்றும் கோரிக்கை, மேலும் உண்மையான தாக்கம் பொதுவாக Worker செயல்பாட்டில் நிகழ்கிறது. நினைவக சிதைவுக்கான சுரண்டக்கூடிய நிபந்தனைகள் பூர்த்தி செய்யப்பட்டால், குறியீடு செயல்படுத்தும் அனுமதி பொதுவாக இயங்கும் பயனர், கொள்கலன் கட்டுப்பாடுகள், லினக்ஸ் திறன், மவுண்டிங் மற்றும் Worker இன் நெட்வொர்க் அனுமதிகளால் கட்டுப்படுத்தப்படும்; சாத்தியமான RCE தானாகவே root சலுகைகள் அல்லது ஹோஸ்ட் சமரசம் ஆகியவற்றைக் குறிக்காது. S4

இந்த செயல்முறை சிறப்புரிமை இல்லாததாக இருந்தாலும், அது ப்ராக்ஸி நற்சான்றிதழ்கள், சான்றிதழ் தனிப்பட்ட விசைகள், அப்ஸ்ட்ரீம் சேவை டோக்கன்கள், தற்காலிக கோப்புகள், உள் API மற்றும் அணுகக்கூடிய நெட்வொர்க்குகளைக் கொண்ட படிக்கக்கூடிய கோப்புகளுக்கான அணுகலைக் கொண்டிருக்கலாம். mTLS க்கு, அங்கீகரிப்பு பைபாஸ் ஒரு தீவிரமான வணிக விளைவாக இருக்கலாம், மேலும் குறியீடு செயல்படுத்துதலுடன் இருக்க வேண்டிய அவசியமில்லை.

2. காரண பகுப்பாய்வு

2.1 NGINX இல் உள்ள மூன்று பிழை-பாதிப்பு எல்லைகளைப் புரிந்து கொள்ளுங்கள்

ஒரு NGINX worker என்பது கோரிக்கை நிலை, ஒத்திசைவற்ற செயல்பாடுகள் மற்றும் நெறிமுறை பாகுபடுத்திகளை பராமரிக்கும் ஒரு நீண்ட கால, நிகழ்வு-உந்துதல் செயல்முறையாகும். இந்த பாதிப்பு மூன்று பொறியியல் நிலைகளில் கட்டுப்பாடுகளை உள்ளடக்கியது:

1. மாறி மதிப்பீடு மற்றும் நினைவக அளவு சீரானதாக இருக்க வேண்டும்: rewrite URI கோரிக்கையை மாற்றிய பிறகு, பாதை மேப்பிங் தற்போது நடைமுறையில் உள்ள location உடன் இணக்கமாக இருக்க வேண்டும்; ஸ்கிரிப்ட் மொழிபெயர்ப்பாளர் மாறி நீளத்தைக் கணக்கிடும்போது, ​​எழுதும் இடம் உண்மையான வெளியீடு மற்றும் ஒதுக்கப்பட்ட பகுதிகளை உள்ளடக்கியதாக இருக்க வேண்டும்.
2. ஒத்திசைவற்ற செயல்பாடுகள் கோரப்பட்ட நினைவகத்தின் வாழ்க்கைச் சுழற்சியை நீட்டிக்க வேண்டும்: முடிக்கப்படாத கோப்பு வாசிப்பு மற்றும் எழுதுதல், கேச் காத்திருப்பு அல்லது நூல் பணிகள் இருக்கும் போது, தொடர்புடைய கோரிக்கை நினைவகக் குளத்தை முன்கூட்டியே வெளியிட முடியாது.
3. நெறிமுறை நிலை மற்றும் பாதுகாப்பு நிலை ஆகியவற்றை கலக்கவோ அல்லது தவிர்க்கவோ முடியாது: HTTP/3 அறியப்படாத ஃபிரேம் ஸ்கிப்பிங்கின் நீளம் DATA கோரிக்கை உடல் நீளமாக கருதப்பட முடியாது; TLS கையொப்ப சரிபார்ப்பில் பங்கேற்கும் அனைத்து முக்கிய இடங்களும் அமர்வு டிக்கெட் சுழற்சியின் போது சரியாக துவக்கப்பட்டு ஒத்திசைக்கப்பட வேண்டும்.

பின்வரும் உள்ளடக்கமானது NGINX அப்ஸ்ட்ரீம் ஃபிக்ஸ் கமிட் மற்றும் விற்பனையாளர் அறிவிப்பை அடிப்படையாகக் கொண்டது, அது தூண்டக்கூடிய தோல்வி பொறிமுறையை விளக்குகிறது; எடுத்துக்காட்டு துண்டு பகுப்பாய்வுக்கானது, உற்பத்தி சூழலை சரிசெய்ய நேரடியாகப் பயன்படுத்தக்கூடிய முழுமையான குறியீடு அல்ல. S5S6S7S8S9

2.2 CVE-2026-15176: alias மற்றும் மீண்டும் எழுதப்பட்ட URI இடையேயான பாதை மேப்பிங் தவறானது.

NGINX இல், பொருந்திய location மற்றும் அதன் alias கோப்பு பாதையை தீர்மானிக்கிறது; rewrite தற்போதைய கோரிக்கையை மாற்றலாம் URI. மீண்டும் எழுதப்பட்ட பிறகு, அசல் location மேப்பிங்கால் பயன்படுத்தப்பட்ட அனுமானங்கள் இனி இருக்காது.

ngx_http_map_uri_to_path() இல் alias நிலையைச் சரிபார்க்கும் போது, கோரிக்கை மீண்டும் எழுதப்பட்டதா என்பதை பாதிக்கப்பட்ட செயலாக்க பாதை போதுமான அளவில் சரிபார்க்கவில்லை. மீண்டும் எழுதப்பட்ட பிறகு உள்ளமைவு $request_filename ஐ தொடர்ந்து மதிப்பீடு செய்யும் போது, ​​தற்போதைய URI நிலைக்கு இணங்காத அனுமானங்களுடன் பாதை கட்டமைக்கப்படலாம், இறுதியில் ஹீப் நினைவகத்திற்கு வரம்புக்கு அப்பாற்பட்ட எழுத்தைத் தூண்டும். S5

வழக்கமான சேர்க்கை (உள்ளமைவு தணிக்கைக்கு எதிர் உதாரணமாக மட்டுமே பயன்படுத்தப்படுகிறது, வரிசைப்படுத்தல் பரிந்துரைக்கப்படவில்லை):

# 仅用于识别风险模式：不是修复配置
location /foo/ {
    alias /srv/alias-root/;
    rewrite ^/foo/.*$ /new-path;
    return 200 $request_filename;
}

ஆபத்து return மட்டும் அல்ல: set, if, add_header, log_format போன்றவையும் அதே கோரிக்கையில் $request_filename மதிப்பீடு செயல்படுத்தப்பட்டால் தணிக்கை செய்யப்பட வேண்டும். எடுத்துக்காட்டில் உள்ள return இந்த நிலைப் பாதையை எளிதாகப் பார்ப்பதை மட்டுமே செய்கிறது, அனைத்து உற்பத்தி உள்ளமைவுகளும் நிரம்பி வழியும் என்பதை ஊகிக்க இதைப் பயன்படுத்த முடியாது. S5S10

தாக்குதலின் விளைவுகள்: கோரிக்கையை உருவாக்குவது Worker ஐ மறுதொடக்கம் செய்ய அல்லது சேவை குறுக்கீட்டை ஏற்படுத்தலாம்; ASLR மூடப்பட்டது அல்லது புறக்கணிக்கப்படலாம் போன்ற நிபந்தனைகளின் கீழ், சாத்தியமான RCE உள்ளது. ஒரு குறிப்பிட்ட இடையகத்தை விரிவுபடுத்துவதை விட, இனி செல்லுபடியாகாத alias சூழலில் மீண்டும் எழுதப்பட்ட URI பாதை மேப்பிங்கை முடிக்க மறுப்பதே அப்ஸ்ட்ரீம் பேட்சின் மையமாகும். S5S10

2.3 CVE-2026-93479: ஸ்கிரிப்ட் மதிப்பீட்டில் “ஒதுக்கப்பட்ட இடம்” மற்றும் உண்மையான மாறி நீளம் ஆகியவற்றுக்கு இடையே பொருந்தவில்லை

NGINX இன் HTTP மற்றும் Stream தொகுதிக்கூறுகள் ஸ்கிரிப்ட் மதிப்பீட்டாளர்களைக் கொண்டுள்ளன, அவை எழுத்துச்சரங்கள் மற்றும் மாறி மதிப்புகளை முடிவு சரத்தில் இணைக்கின்றன. பயன்பாட்டு எடுத்துக்காட்டுகளில் HTTP ஆவணம் root பாதைகள், அணுகல் பதிவு பாதைகள் மற்றும் Stream இல் உள்ள மாறி வெளிப்பாடுகள் ஆகியவை அடங்கும்.

map + வழக்கமான வெளிப்பாடுகளின் சில உள்ளமைவுகள் கைப்பற்றப்பட்ட மதிப்புகளை map முடிவு மாறி மதிப்பிடப்படும் முன் மற்ற வெளிப்பாடுகளால் படிக்க அனுமதிக்கின்றன. ஒதுக்கப்பட்ட நீளத்துடன் கூடிய ஸ்கிரிப்ட் செயல்படுத்தல் முறையுடன் இணைந்து, பழைய செயலாக்கமானது len ஒதுக்கப்பட்ட இடத்தை முன்கூட்டியே மதிப்பிடப்பட்ட நீளக் குவிப்பானில் கணக்கிடும், இதனால் அடுத்தடுத்த எழுதும் சுட்டிக்காட்டி கணக்கீடுகள் இடையக எல்லையுடன் ஒத்துப்போவதில்லை. ஒரு குறிப்பிட்ட மாறி மதிப்பீட்டு வரிசையில், அடுத்தடுத்த சரம் எழுதுதல்கள் ஒதுக்கப்பட்ட பகுதியை மேலெழுதலாம், இதனால் குவிய வழிதல் ஏற்படும். S6

பங்கேற்பு கூறுகள்	ஏன் கவனம் செலுத்துவது மதிப்பு
map இல் regex	பிடிப்பு மாறி மதிப்பீடு சுயாதீனமான வாழ்க்கைச் சுழற்சி மற்றும் கேச்சிங் நடத்தை ஆகியவற்றைக் கொண்டிருக்கலாம்
$1, $2 போன்ற அநாமதேய பிடிப்புகள்.	பிற வழக்கமான வெளிப்பாடுகள் அல்லது வெளிப்பாடுகளால் எளிதாக மேலெழுதப்பட்டு, உரிமையைக் கண்காணிப்பதை கடினமாக்குகிறது
root இல் மாறிகள்	பாதை உருவாக்கத்தை தூண்டும் போது ஸ்கிரிப்ட் செயல்படுத்தல் மற்றும் இடையக முன்பதிவு
log_format/டைனமிக் பதிவு பாதை	அதே மாதிரியான மதிப்பீடு பின்னர் கோரிக்கையில் தூண்டப்படலாம்
stream இல் ஸ்கிரிப்ட் வெளிப்பாடுகள்	அப்ஸ்ட்ரீம் பிழைத்திருத்தம் ngx_stream_script_run() ஐயும் மாற்றியமைக்கிறது. நீங்கள் HTTP தொகுதியை மட்டும் மதிப்பாய்வு செய்ய முடியாது.

முக்கியமான பின்னடைவு உறவு: இந்த பாதிப்பு தொடர்பான குறியீடு CVE-2026-42533 சரி செய்த முந்தைய மாற்றங்களுடன் தொடர்புடையது. Debian 13க்கான அதிகாரப்பூர்வ DSA, பாதிக்கப்பட்ட குறியீடு trixie தொகுப்பில் முந்தைய பாதுகாப்பு பேக்போர்ட் மூலம் அறிமுகப்படுத்தப்பட்டது என்று தெளிவாகக் கூறுகிறது. எனவே, “ஜூலை map பாதிப்பு பேட்ச் நிறுவப்பட்டது” என்பது அக்டோபர் மாதத்தின் CVE-2026-93479 மூடப்பட்டதாக அர்த்தமல்ல; முழு பாதுகாப்பு சரிசெய்தல் சங்கிலி சரிபார்க்கப்பட வேண்டும். S6S14S17

இங்கே சாத்தியமான RCE ஆபத்து நினைவக பாதுகாப்பு சூழலுடன் தொடர்புடையது, மேலும் map ரீஜெக்ஸை மட்டும் அநாமதேய தாக்குபவர்களால் பயன்படுத்திக் கொள்ள முடியும் என்று கூறக்கூடாது. S11

2.4 CVE-2026-97205: AIO முடிக்கப்படாத செயல்பாட்டின் எண்ணிக்கை ரேபாரவுண்ட் காரணங்கள் பயன்படுத்த-இலவசம்

இந்த பாதிப்பு வெறுமனே “SSI ஐ ஆன் செய்து நீங்கள் UAF பெறுவீர்கள்” என்பது மட்டும் அல்ல. முக்கிய கோரிக்கையின் ஒத்திசைவற்ற செயல்பாட்டு குறிப்பு எண்ணிக்கையில் முக்கியமானது.

NGINX இன்னும் முடிக்கப்படாத ஒத்திசைவற்ற செயலாக்கத்தைக் கண்காணிக்க r->main->blocked ஐப் பயன்படுத்தவும், பழைய செயலாக்கத்தில் இது 8-பிட் எண்ணிக்கையாக இருந்தது; சில பாதைகள் எண்ணிக்கையை அதிகரிப்பதற்கு முன் மேல் வரம்புச் சரிபார்ப்பைச் செய்யவில்லை. அதே முக்கிய கோரிக்கையானது 256 நிலுவையில் உள்ள செயல்பாடுகளைக் குவிக்கும் போது, ​​எண்ணிக்கை 255 இலிருந்து 0 ஆக இருக்கலாம். கோரிக்கையை வெளியிடுவதைத் தடுக்கும் ஒத்திசைவற்ற செயல்பாடு எதுவும் இல்லை என்று அடுத்தடுத்த செயல்முறைகள் தவறாக நம்பும், இதனால் பணியால் குறிப்பிடப்பட்ட கோரிக்கை நினைவகக் குளம் வெளியிடப்படும். S7

தோல்வி செயல்முறையை பிரிக்கலாம்:

1. தொடர்புடைய ஒத்திசைவற்ற I/O/thread பாதை இயக்கப்பட்டால், SSI பக்கம் include virtual வழியாக பல துணை கோரிக்கைகள் அல்லது வாசிப்பு செயல்பாடுகளை அறிமுகப்படுத்துகிறது.
2. ஒரு குறிப்பிட்ட முக்கிய கோரிக்கையின் நிலுவையில் உள்ள செயல்பாடுகள் எண்ணிக்கை புலத்தால் குறிப்பிடப்படும் மேல் வரம்பு வரை குவிக்கப்படும்.
3. 8-பிட் எண்ணிக்கை சுற்றி வருகிறது, “நிலுவையில் உள்ள செயல்பாடுகள் இல்லை” என தவறாக வெளிப்படுத்தப்படுகிறது.
4. கோரிக்கை நினைவகக் குளம் வெளியிடப்பட்டது, கோப்பு படிக்கும் போது, கேச் காத்திருப்பு அல்லது த்ரெட் பணிகளின் கால்பேக்குகள் இன்னும் குறிப்புகளைத் தக்கவைத்துக்கொள்ளும்.
5. அடுத்தடுத்த ஒத்திசைவற்ற நிறைவு கால்பேக்குகள் வெளியிடப்பட்ட நினைவகத்தை அணுகுகின்றன, இதன் விளைவாக UAF, Worker செயலிழப்புகள் அல்லது நினைவக சிதைவு ஏற்படலாம்.

அதிகாரப்பூர்வ திருத்தமானது கோரிக்கை தலைப்புக் கோப்பில் NGX_HTTP_MAX_BLOCKED 250 ஐ சேர்க்கிறது, மேலும் வெளியீட்டு வடிகட்டி, கேச் ரீட் மற்றும் அப்ஸ்ட்ரீம் த்ரெட் பாதைக்கு கட்டுப்பாடுகளைச் சேர்க்கிறது; வாசலை எட்டியதும், ஒத்திசைக்கப்பட்ட பாதைகள் கொண்ட செயல்பாடுகள் ஒத்திசைவாக முடிக்கப்படும், மேலும் அவற்றைப் பாதுகாப்பாகச் செயல்படுத்த முடியாவிட்டால், நிலுவையில் உள்ள பணிகளை மேலும் சேர்ப்பது மறுக்கப்படும். S7

பொருந்தக்கூடிய தீர்ப்பு: SSI, AIO, மெய்நிகர் சேர்த்தல், துணை கோரிக்கைகள் மற்றும் தொடர்புடைய ஒத்திசைவற்ற செயல்பாடுகள் ஒரே கோரிக்கை சங்கிலியில் இணைந்து நிகழுமா என்பதை மதிப்பீடு செய்ய வேண்டும். இவை பொதுவாக இயல்புநிலை நிலையான ப்ராக்ஸி உள்ளமைவுகள் அல்ல. aio off; அல்லது ssi off; குறிப்பிட்ட தூண்டுதல் கூறுகளை அகற்றலாம், ஆனால் வணிகச் சார்புகள் முதலில் உறுதிப்படுத்தப்பட வேண்டும். S4S7S25

2.5 CVE-2026-95101: HTTP/3 தெரியாத சட்டமானது DATA கோரிக்கை அமைப்பின் நிலையுடன் குழப்பமடைகிறது

HTTP/3 பிரேம் பாகுபடுத்தி DATA பிரேம்கள் (HTTP கோரிக்கை உடல் செயலாக்கத்திற்கு அனுப்பப்பட வேண்டும்) மற்றும் தவிர்க்கப்பட வேண்டிய தெரியாத ஃப்ரேம்கள் ஆகியவற்றுக்கு இடையே வேறுபடுத்திக் காட்ட வேண்டும். நெட்வொர்க் பஃபர்கள் முழுவதும் துண்டாடப்படும் போது தெரியாத பிரேம்களின் நீளமும் துல்லியமாக பாதுகாக்கப்பட வேண்டும்.

ngx_http_v3_parse_data() இன் பழைய செயலாக்கமானது, தெரியாத பிரேம்களைத் தவிர்க்கும் போது “தவிர்க்கப்பட வேண்டிய பைட்டுகளின் மீதமுள்ள எண்ணிக்கையை” சேமிக்க st->length புலத்தைப் பயன்படுத்தியது, அதே நேரத்தில் கோரிக்கை உடல் வடிகட்டி அதே புலத்தை “மீதமுள்ள DATA பேலோட் நீளம்” என்று விளக்குகிறது. தெரியாத ஃபிரேம் பல பாகுபடுத்தும் அழைப்புகளை ஏற்படுத்தினால், பாகுபடுத்துதல் குறுக்கிடப்பட்ட பிறகு அடுத்த பைட்டுகளின் அடுத்த தொகுதி கோரிக்கை அமைப்பின் பகுதியாக தவறாக இருக்கலாம். S8

இரண்டு வகையான ஆபத்துகள் எழுகின்றன:

• கோரிக்கை உடல் ஊசி: கிளையன்ட் சமர்ப்பித்த DATA அல்லாத பிரேம் பேலோட் அப்ஸ்ட்ரீம் பயன்பாட்டிற்கு அனுப்பப்படலாம், பின்தளத்தில் உண்மையில் பெறப்பட்ட தரவை மாற்றலாம்.
• அளவு வரம்பு பைபாஸ்கள்: client_max_body_size மற்றும் பிற கட்டுப்பாடுகள். எதிர்பார்க்கப்படும் காசோலைகள் DATA பாதையில் குவிந்துள்ளன, மேலும் தவறாக மாற்றப்பட்ட உள்ளடக்கம் தொடர்புடைய சரிபார்ப்பைத் தவிர்க்கலாம்.

ngx_http_v3_module HTTP/3 கோரிக்கையைப் பெற்று proxy_request_buffering on ஐ முன்னோக்கி அனுப்பும் போது அதிகாரியால் விவரிக்கப்பட்ட பொதுவான தூண்டுதல் காட்சியாகும். ngx_http_proxy_module இல் இயல்பாகவே ப்ராக்ஸி கோரிக்கை பாடி பஃபரிங் இயக்கப்பட்டது. எனவே, HTTP/3 ஐ இயக்கும் ரிவர்ஸ் ப்ராக்ஸி முதலில் சரிபார்க்கப்பட வேண்டும். proxy_request_buffering on; வெளிப்படையாக எழுதப்படவில்லை என்பதற்காக தூண்டுதல் நிலை இல்லை என்று கருதுவது பொருத்தமானதல்ல. S8S18

இந்த பாதிப்பின் நேரடி விளைவு பின்தளத்தில் கோரிக்கை ஒருமைப்பாடு மற்றும் பாதுகாப்பு எல்லை மாற்றத்திற்கு சொந்தமானது, இது RCE இன் சமமான வெளிப்பாடு அல்ல NGINX மையத்தில் நேரடியாக முடிக்கப்பட்டது. இந்த பைட்டுகள் எவ்வாறு பாகுபடுத்தப்படுகின்றன மற்றும் அப்ஸ்ட்ரீம் நம்பகமானவை என்பதைப் பொறுத்து இறுதி வணிக தாக்கம் இருக்கும். S24

2.6 CVE-2026-97629: TLS டிக்கெட் சுழற்சி மூன்றாவது முக்கிய ஸ்லாட்டை தவறவிட்டது

பாதிக்கப்பட்ட உள்ளமைவுகளில், NGINX ஆனது TLS அமர்வு டிக்கெட் விசைகளை பகிரப்பட்ட நினைவக கேச் மூலம் தானாக உருவாக்கி சுழற்ற முடியும், இது பல Worker டிக்கெட்டுகளை ஒரே தொகுதியைச் செயல்படுத்த அனுமதிக்கிறது.

தொடர்புடைய ஒத்திசைவு லாஜிக் ஒவ்வொரு Worker க்கும் 3 முக்கிய இடங்களை ஒதுக்குகிறது, மேலும் டிக்ரிப்ஷன் கால்பேக் இந்த ஸ்லாட்டுகளையும் கடந்து செல்லும்; ஆனால் பழைய செயலாக்கமானது ஒவ்வொரு முறையும் பகிரப்பட்ட நினைவகத்திலிருந்து 2 முக்கிய இடங்களை மட்டுமே நகலெடுக்கிறது, இதன் விளைவாக மூன்றாவது ஸ்லாட்டின் முக்கிய பெயர், HMAC விசை மற்றும் AES ஆகியவை கிடைக்கும். விசை துவக்கப்படாமல் இருக்கலாம். டிக்கெட்டின் முக்கிய அடையாளங்காட்டி இந்த நிலையுடன் பொருந்தினால், கையொப்ப சரிபார்ப்பு மற்றும் மறைகுறியாக்கத்திற்கு துவக்கப்படாத முக்கிய பொருள் பயன்படுத்தப்படலாம், இதனால் TLS அமர்வை உருவாக்குவதற்கான பாதையை உருவாக்குகிறது. S9

அதிக ஆபத்துள்ள வரிசைப்படுத்தல் சேர்க்கைகள் பொதுவாக:

# 仅为排查触发条件所示：共享缓存本身不是恶意配置
ssl_session_cache shared:SSL:10m;
# 未显式配置 ssl_session_ticket_key 文件，使用自动轮换机制

ssl_verify_client on; மற்றும் பிற வழிகளில் கிளையன்ட் சான்றிதழ் அங்கீகாரத்தைப் (mTLS) பயன்படுத்தும் சேவைகளில், போலியான மீட்பு அமர்வுகள் கிளையன்ட் சான்றிதழ் சரிபார்ப்பைக் கடந்து செல்வதே இந்த பாதிப்பின் மிக மோசமான வணிக விளைவு. தாக்குதலின் வெற்றியும் கட்டுப்படுத்த முடியாத நிலைமைகளுக்கு உட்பட்டது; சாதாரண சர்வர் பக்க HTTPS சான்றிதழை மட்டுமே பயன்படுத்தும் மற்றும் கிளையன்ட் சான்றிதழ் அங்கீகாரம் இல்லாத தளம் “தாக்குபவர் முழு இணையதள உள்நுழைவையும் கடந்து செல்ல முடியும்” என தவறாகக் குறிப்பிடப்படக்கூடாது. S9S12

இது TLS அமர்வு அங்கீகரிப்பு நிலைச் சிக்கலாகும், சர்வரின் TLS தனிப்பட்ட விசை சிதைந்துள்ளதா அல்லது பொது CA root சான்றிதழ் பாதிக்கப்பட்டுள்ளதா என்பதற்கும் இதற்கும் எந்தத் தொடர்பும் இல்லை. S24

2.7 DoS, RCE, அங்கீகார பைபாஸ் மற்றும் அறியப்பட்ட சுரண்டல்களை எவ்வாறு புரிந்துகொள்வது

• DoS: நினைவகப் பிழையானது Worker செயலிழக்க அல்லது பெருமளவில் மறுதொடக்கம் செய்ய காரணமாகிறது. இது ஒட்டுமொத்த பற்றாக்குறையை ஏற்படுத்துமா என்பது போக்குவரத்து அழுத்தம், செயல்முறை மறுதொடக்கம் திறன், இணைப்பு பராமரிப்பு நேரம் மற்றும் அதிக கிடைக்கும் கட்டமைப்பு ஆகியவற்றுடன் தொடர்புடையது.
• சாத்தியமான RCE: சில அறிவிப்புகள் ASLR மூடப்படும்போது அல்லது புறக்கணிக்கப்படும்போது குறியீடு செயல்படுத்தப்படுவதற்கான சாத்தியக்கூறுகள் இருப்பதைக் குறிப்பிடுகின்றன. கட்டளைகளை நிலையான மற்றும் உலகளவில் இயக்கக்கூடிய ஒரு பொது தாக்குதல் சங்கிலி வெளிப்படுத்தப்பட்டது என்று இது அர்த்தப்படுத்துவதில்லை. S4
• உட்செலுத்துதல்/அங்கீகரிப்பு பைபாஸைக் கோருங்கள்: இது பாதுகாக்கப்பட்ட வணிக நிலையை நேரடியாக மாற்றலாம் அல்லது உள்ளடக்கத்தைக் கோரலாம், மேலும் ஷெல்லை நேரடியாகப் பெறாததால் புறக்கணிக்க முடியாது.
• தாக்குதல் முயற்சிகளைக் கண்டறிந்துள்ளது: CVE-2026-42945 மே 2026 இல் காட்டுச் சுரண்டல் நடவடிக்கைகள் பற்றிய அறிக்கைகள் உள்ளன; அக்டோபரில் அனைத்து ஐந்து CVE களும் பெரிய அளவில் வெற்றிகரமாக சுரண்டப்பட்டுள்ளன என்று இந்த வரலாற்று உண்மையை நேரடியாக ஊகிக்கக்கூடாது. S23

3. பழுது பதிப்பு மற்றும் இணைப்பு தேர்வு

3.1 NGINX Open Source அதிகாரப்பூர்வ பேட்ச் அடிப்படை

அப்ஸ்ட்ரீம் கிளை	அக்டோபரில் ஐந்து பாதிப்புகளை உள்ளடக்கிய முதல் அதிகாரப்பூர்வ பதிப்பு	2026-10-27 இன் பரிந்துரைகள்
Stable 1.30.x	1.30.6（2026-10-14）	குறைந்தபட்சம் 1.30.6 ஐ நிறுவி, அடுத்தடுத்த பாதுகாப்பு பதிப்புகளைப் பின்தொடரவும்.
Mainline 1.31.x	1.31.7（2026-10-14）	1.31.8（2026-10-21）
முந்தைய NGINX Open Source கிளை	”பழைய பாதிப்பு இணைப்புகள் பயன்படுத்தப்பட்டுள்ளன” என்பதன் அடிப்படையில் மட்டுமே இதை மதிப்பிட முடியாது.	முதலில் பராமரிக்கப்படும் கிளைக்கு இடம்பெயரவும்; இல்லையெனில், விற்பனையாளர் CVE-by-CVE அடிப்படையில் ஆதரவுக்கான முறையான ஆதாரங்களை வழங்க வேண்டும்.

இவை nginx.org அப்ஸ்ட்ரீம் மூலக் குறியீடு/அதிகாரப்பூர்வ கிளையின் பதிப்பு முடிவுகளாகும், மேலும் விநியோக விற்பனையாளரால் வழங்கப்பட்ட பேக்போர்ட் செய்யப்பட்ட திருத்தங்களுடன் பாதுகாப்பு தொகுப்பை நேரடியாக மறுக்கப் பயன்படுத்தக்கூடாது. 1.31.6 இன் மதிப்பு 1.30.6 ஐ விட அதிகமாக இருந்தாலும், அது மெயின்லைன் கிளையின் பேட்ச் பேஸ்லைனை விட குறைவாகவே இருக்கும். S1S2

3.2 ஐந்து CVEகளின் அப்ஸ்ட்ரீம் தாக்கம்

nginx.org பாதுகாப்பு புல்லட்டின் அசல் உரையின்படி பின்வரும் வரம்புகள் பட்டியலிடப்பட்டுள்ளன, மேலும் அவை “தற்போதைய இயங்கும் கிளை” மற்றும் “உண்மையான உள்ளமைவு பாதை” ஆகியவற்றுடன் இணைந்து புரிந்து கொள்ளப்பட வேண்டும்:

CVE	அப்ஸ்ட்ரீம் குறிச்சொற்கள் பாதிக்கப்பட்ட பதிப்புகள்	அதிகாரப்பூர்வமாக பெயரிடப்பட்ட நிலையான பதிப்பு
CVE-2026-15176	0.1.29–1.31.6	1.30.6+ அல்லது 1.31.7+, அந்தந்த கிளைகளுக்குள்
CVE-2026-93479	1.30.0–1.30.5，1.31.2–1.31.6	மேலே உள்ளதைப் போலவே
CVE-2026-97205	0.8.11–1.31.6	மேலே உள்ளதைப் போலவே
CVE-2026-95101	1.25.0–1.31.6	மேலே உள்ளதைப் போலவே
CVE-2026-97629	1.23.2–1.31.6	மேலே உள்ளதைப் போலவே

CVE-2026-93479 குறிப்பிட்ட அறிமுக-பதிப்பு வரம்புகளைக் கொண்டுள்ளது; ஒவ்வொரு பழைய NGINX பதிப்பும் இந்த பின்னடைவால் பாதிக்கப்படுவதில்லை. அந்த வரம்புகளுக்கு வெளியே உள்ள பழைய பதிப்புகள் முந்தைய map regex பாதிப்பு CVE-2026-42533 ஆல் இன்னும் பாதிக்கப்படலாம். S1

3.3 Ubuntu: விநியோக பேக்போர்ட்கள் (USN-8955-1)

நியமன USN-8955-1 அக்டோபர் 26, 2026 நான்கு Ubuntu பில்ட்களுக்கான பாதுகாப்பு புதுப்பிப்பை வழங்குகிறது: S13

Ubuntu பதிப்பு	nginx மற்றும் அதே மூல தொகுப்பு நிலையான பதிப்பு	விளக்கம்
22.04 LTS	1.18.0-6ubuntu14.22	இது ஒரு விற்பனையாளர் பேக்போர்ட்; அப்ஸ்ட்ரீம் பதிப்பு எண் இன்னும் 1.18.0 ஐக் காட்டுகிறது
24.04 LTS	1.24.0-2ubuntu7.19	மேலே உள்ளதைப் போலவே
26.04 LTS	1.28.3-2ubuntu1.12	மேலே உள்ளதைப் போலவே
26.10	1.30.4-7ubuntu1.1	மேலே உள்ளதைப் போலவே

அறிவிப்பில் nginx-core, nginx-extras, nginx-full மற்றும் nginx-light போன்ற ஹோமோலோகஸ் தொகுப்புகளின் நிலையான பதிப்புகள் உள்ளன. nginx -v ஆல் மட்டுமே காட்டப்படும் அப்ஸ்ட்ரீம் பகுதியிலிருந்து அதைச் சரிசெய்வதா என்பதைப் பற்றிய முடிவுகளை எடுக்க வேண்டாம். Ubuntu 24.04 மற்றும் 1.24.0-2ubuntu7.19 ஆகியவை இந்த விற்பனையாளரால் இணைக்கப்பட்டுள்ளன, ஆனால் 1.24.0 எந்த மூலத்திலிருந்தும் இயல்பாகவே பாதுகாப்பாக இல்லை.

Ubuntu அதிகாரப்பூர்வமாகவும் தெளிவாகக் குறித்தது CVE-2026-95101 மட்டுமே பாதிக்கிறது Ubuntu 26.04 / 26.10 , மற்றும் CVE-2026-97629 மட்டுமே பாதிக்கிறது Ubuntu 24.04 / 26.04 / 26.10. இதோ Ubuntu இன் சொந்த பேக்கேஜிங் மற்றும் செயல்பாட்டு நோக்கம், இது மற்ற விநியோகங்களுக்கு நேரடியாக விளம்பரப்படுத்த முடியாது. S13

3.4 Debian: பதிப்புகளுக்கு இடையிலான வேறுபாடுகள் தனித்தனியாக சரிபார்க்கப்பட வேண்டும்

Debian ஆலோசனை DSA-6575-1 (2026-10-21) இந்த ஐந்து CVEகளை உள்ளடக்கியது மற்றும் Debian 13 / trixie க்கான நிலையான nginx தொகுப்பை இவ்வாறு அடையாளப்படுத்துகிறது:

1.26.3-3+deb13u10

இருப்பினும், இந்த அறிக்கையின் சரிபார்ப்பு நேரத்தில், Debian 12 / bookworm க்கான 1.22.1-9+deb12u10 இன்னும் Debian பாதுகாப்பு டிராக்கரால் பாதிக்கப்படக்கூடியதாகக் கொடியிடப்பட்டுள்ளது. எனவே:

• Debian 13 DSA-6575-1 இன் படி புதுப்பித்து ஏற்கவும்.
• Debian 12 தற்போதைய பாதுகாப்பு கண்காணிப்பாளர் அல்லது ELTS விற்பனையாளர் வழங்கிய பாதுகாப்பு திருத்தங்களை ஒவ்வொன்றாக சரிபார்க்க வேண்டும்; அறிவிப்பில் திருத்தம் உறுதி செய்யப்படுவதற்கு முன், apt upgrade இன் வெற்றியின் அடிப்படையில் ஐந்து பொருட்களும் சரி செய்யப்பட்டதாக அறிவிக்க வேண்டாம்.
• Debian மூலப் பொதியானது nginx.org பதிப்பு எண்ணிலிருந்து சுயாதீனமான பேட்ச் தொகுப்பைக் கொண்டிருக்கலாம். தனிப்பயன் உருவாக்கங்களுக்கு, நீங்கள் முழுமையான மூலக் குறியீடு தொகுப்பு பிழைத்திருத்தத் தொகுப்பைச் சரிபார்க்க வேண்டும், மேலும் நீங்கள் ஒரு அப்ஸ்ட்ரீம் கமிட்டை மட்டும் நகலெடுத்து அதை முழுமையாகக் கருத முடியாது.

மேலே உள்ள வேறுபாடு DSA மற்றும் CVE கண்காணிப்பு பதிவுகளை அடிப்படையாகக் கொண்டது. S14S15S16

3.5 NGINX Plus, njs மற்றும் நுழைவுக் கட்டுப்பாட்டாளர்

தயாரிப்புகள்/கூறுகள்	பாதுகாப்பு தேர்வு மற்றும் சரிபார்ப்பு முக்கிய புள்ளிகள்
NGINX Plus (வணிக பதிப்பு)	F5 உடன் தொடர்புடைய பிளஸ் கிளையின் அறிவிப்பு மற்றும் மேம்படுத்தல் வழிமுறைகளைப் பார்க்கவும். சரிபார்ப்பின் போது சமீபத்திய CR PLS.37.2.0.1 ஆகும், மேலும் LTS இன் பாதுகாப்பு உருவாக்கம் PLS.37.0.7.1 ஆகும்; பிளஸ் பதிப்பு மற்றும் சேர்க்கப்பட்ட பேக்போர்ட்டை நேரடியாக ஓப்பன் சோர்ஸின் 1.30/1.31 த்ரெஷோல்ட் மூலம் மாற்ற முடியாது. S19
njs / ngx_http_js_module	2026-10-14 njs 1.0.2 ஐ வெளியிடுகிறது மற்றும் CVE-2026-101019 மற்றும் CVE-2026-101025 ஆகியவற்றை சரிசெய்கிறது; நீங்கள் njs ஐப் பயன்படுத்துகிறீர்கள் என்றால், NGINX உடன் தொகுதியின் இணக்கத்தன்மையையும் நீங்கள் சரிபார்க்க வேண்டும். S20
F5 NGINX இன்க்ரஸ் கன்ட்ரோலர் / கேட்வே ஃபேப்ரிக்	NGINX கோர் ஒரு தொடர்புடைய ஆனால் சுயாதீனமான மென்பொருள் விநியோக சங்கிலி ஆகும். சம்பந்தப்பட்ட கன்ட்ரோலர்கள், படங்கள் மற்றும் வெளியீட்டு குறிப்புகள் மூலம் தொடர்புடைய பாதிப்புகளை சரிசெய்யவும். நீங்கள் Podல் உள்ள NGINX பைனரியை மாற்ற முடியாது.
Kubernetes சமூகம் kubernetes/ingress-nginx	இந்த திட்டம் மார்ச் 2026 இல் நிறுத்தப்பட்டது, இனி புதிய பாதுகாப்பு பராமரிப்பு வழங்கப்படாது. F5 NGINX இன்க்ரஸ் கன்ட்ரோலரின் வெளியீட்டு எண்ணைத் தவறாகப் புரிந்துகொள்வதற்குப் பதிலாக, பராமரிக்கப்பட்ட கட்டுப்படுத்தி அல்லது Gateway API க்கு மாற்ற நீங்கள் திட்டமிட வேண்டும். S21

3.6 எந்த பேட்சை நீங்கள் தேர்வு செய்ய வேண்டும்?

வரிசைப்படுத்தல் படிவம்	பரிந்துரைக்கப்பட்ட நடைமுறைகள்	பழுதுபார்ப்பு சான்று
nginx.org அதிகாரப்பூர்வ DEB/RPM தொகுப்பு	அப்ஸ்ட்ரீம் கிளையின் நிலையான பதிப்பிற்கு மேம்படுத்தவும்	nginx -v/-V, தொகுப்பு ஆதாரம், அதிகாரப்பூர்வ பாதுகாப்பு அறிவிப்பு
Ubuntu/Debian அதிகாரப்பூர்வ களஞ்சியம்	விற்பனையாளர் பாதுகாப்பு தொகுப்புகளை நிறுவவும்	முழு தொகுப்பு பதிப்பு + விற்பனையாளர் USN/DSA + CVE நிலை
RHEL/Alma/Rocky/SUSE/பிற விநியோகங்கள்	குறிப்பிட்ட விநியோக பாதுகாப்பு புல்லட்டின்கள் மற்றும் தொகுப்பு பதிப்புகளின்படி மேம்படுத்தவும்	தொடர்புடைய விற்பனையாளர் CSAF/அறிவிப்பு, Ubuntu/Debian பதிப்பைப் பயன்படுத்த முடியாது
அதிகாரப்பூர்வ அல்லது தனிப்பயன் கொள்கலன் படங்கள்	சரிபார்க்கப்பட்ட பழுதுபார்க்கும் படத்தை மீண்டும் உருவாக்கவும் அல்லது இழுக்கவும் மற்றும் அதை உருட்டல் அடிப்படையில் மாற்றவும்	படத்தை டைஜெஸ்ட், உருவாக்க SBOM, இயங்கும் பாட்/கன்டெய்னர் பட ஐடி
சுயமாக தொகுக்கப்பட்ட NGINX, OpenResty, Tengine அல்லது மூன்றாம் தரப்பு தொகுதிகளுடன் இணைக்கப்பட்ட பதிப்புகள்	பராமரிப்பாளரின் முழு பாதுகாப்பு பதிப்பின் பயன்பாட்டிற்கு முன்னுரிமை கொடுங்கள்; தேவைப்படும் போது இலக்கு மூல மரத்திற்கான மதிப்பாய்வு செய்யப்பட்ட பேட்ச் பேக்போர்ட்களை செயல்படுத்தவும்	ஐந்து பாதிப்புத் திருத்தங்கள், ஏபிஐ/தொகுதி இணக்கத்தன்மை, யூனிட் மற்றும் பிசினஸ் பின்னடைவு

OpenResty மற்றும் Tengine ஆகியவை வெவ்வேறு வெளியீட்டு அமைப்புகள்; இந்த அட்டவணை சரிபார்ப்பு முறையை மட்டுமே விவரிக்கிறது. நிலையான NGINX இன் அனைத்து பதிப்புகளும் ஒரே நேரத்தில் பாதிக்கப்படுகின்றன என்று அர்த்தமல்ல, அல்லது அப்ஸ்ட்ரீம் குறியீடு இணைப்பு நிபந்தனையின்றி பயன்படுத்தப்பட முடியாது.

4. முறையான பழுதுபார்க்கும் செயல்முறை

4.1 வெளிப்புற போக்குவரத்தைப் பெறுவதற்கான உண்மையான நிகழ்வுகளின் இருப்பு

ஒவ்வொரு பதிவிற்கும் குறைந்தபட்சம் தொகுக்கவும்:

• டொமைன் பெயர், லோட் பேலன்சிங்/CDN/எட்ஜ் ப்ராக்ஸி இணைப்பு, ஆரிஜின் சைட் எக்ஸ்போஷர் முறை மற்றும் நெட்வொர்க் புரோட்டோகால் பயன்படுத்தப்பட்டது.
• NGINX தயாரிப்புகள் (ஓப்பன் சோர்ஸ், பிளஸ், இன்க்ரஸ் போன்றவை), முழு பதிப்பு, தொகுப்பு களஞ்சிய ஆதாரம், பட டைஜெஸ்ட்.
• nginx -V கட்டிட தொகுதிகள் மற்றும் தொகுப்பு அளவுருக்களைக் காட்டுகிறது; njs, Lua, OpenResty மற்றும் மூன்றாம் தரப்பு டைனமிக் தொகுதிகள் உள்ளனவா.
• உண்மையான இயங்கும் master/worker PID, சர்வீஸ் யூனிட்/கன்டெய்னர்/பாட், பிரதி மற்றும் Worker முனை.
• உண்மையான பயனுள்ள http/stream, server, location, include உள்ளமைவுகள்.
• HTTP/3, mTLS, SSI/AIO, டைனமிக் பதிவு பாதை, சிக்கலான map மற்றும் ரீஜெக்ஸ் கேப்சர் ஆகியவற்றை இயக்க வேண்டுமா.

இயல்புநிலை /etc/nginx/nginx.conf ஐ மட்டும் சரிபார்க்க வேண்டாம். உற்பத்தி சூழல் பெரும்பாலும் பல தளங்கள், TLS மற்றும் தொகுதி உள்ளமைவுகளை include மூலம் ஏற்றுகிறது. பல NGINX நிறுவல் பாதைகள் அல்லது பல ப்ராக்ஸி அடுக்குகள் இருக்கலாம்.

4.2 பதிப்பு மற்றும் தொகுப்புத் தகவலைச் சரிபார்க்கவும்

# NGINX 版本及构建选项
nginx -v
nginx -V 2>&1

# Linux：查看实际运行的 NGINX 进程
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

# Debian / Ubuntu：查看完整已安装包版本、来源
apt-cache policy nginx
# 兼顾 nginx-core / nginx-full / nginx-extras 等实际已安装包
dpkg-query -W 'nginx*' 2>/dev/null

# RPM 系：以实际安装包及仓库公告为准
rpm -qa | grep '^nginx'

nginx -V கட்டளை வரி பாதையில் காணப்படும் பைனரியின் உருவாக்கத்தை தெரிவிக்கிறது; இயங்கும் worker அதை ஏற்றியதை நிரூபிக்கவில்லை. nginx -v விநியோகத்தின் முழு தொகுப்பு பின்னொட்டைத் தவிர்க்கலாம், எனவே தொகுப்பு மேலாளர் அல்லது விநியோகச் சங்கிலி பதிவுகளையும் சரிபார்க்கவும்.

4.3 பயனுள்ள உள்ளமைவை ஏற்றுமதி செய்து முதல் சுற்று நிலையான திரையிடலைச் செய்யவும்

nginx -T உள்ளமைவைச் சோதித்து, இணைக்கப்பட்ட உள்ளமைவை டம்ப் செய்யும். வெளியீட்டில் அங்கீகார சான்றுகள், முக்கிய பாதைகள், உள் ஹோஸ்ட் பெயர்கள் போன்ற முக்கியமான தகவல்கள் இருக்கலாம். கட்டுப்படுத்தப்பட்ட முனையத்தை root அனுமதிகள் மற்றும் தனிப்பட்ட கோப்பு அனுமதிகளுடன் சேமிக்க பரிந்துரைக்கப்படுகிறது, மேலும் அசல் கோப்புகளை பொது பணி ஆர்டர்களில் இடுகையிட வேண்டாம்:

sudo sh -c 'umask 077; nginx -T > /root/nginx-effective.conf 2> /root/nginx-config-check.log'

sudo grep -nE \
  'alias|rewrite|map[[:space:]]|request_filename|aio[[:space:]]|ssi[[:space:]]|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_ticket_key|ssl_session_tickets|ssl_verify_client|log_format|root[[:space:]]' \
  /root/nginx-effective.conf

இது கேண்டிடேட் பாத் லோகேட்டர் மட்டுமே, நம்பகமான CVE தானியங்கி நிர்ணய கருவி அல்ல:

1. grep மாறிகள் ஒரே location இல் உள்ளதா அல்லது அதே கோரிக்கை மதிப்பீட்டுச் சங்கிலியில் உள்ளதா என்பதைத் தீர்மானிக்க முடியாது, மேலும் உள்ளமைவு பரம்பரை உறவைக் குறைக்க முடியாது.
2. proxy_request_buffering on, சில கேச் மற்றும் டிக்கெட் உள்ளமைவுகள் இயல்புநிலை மதிப்புகளைக் கொண்டுள்ளன, மேலும் தொடர்புடைய வழிமுறைகளை எழுதாமல் இருப்பது ஆபத்து மறைந்துவிடும் என்று அர்த்தமல்ல.
3. தலைகீழ் ப்ராக்ஸிகள், CDN, கொள்கலன் சைட்கார்கள் அல்லது கன்ட்ரோலர்கள் மூலம் உருவாக்கப்படும் உள்ளமைவுகள் கைமுறையாக ஆய்வு செய்யப்பட்ட கோப்புகளிலிருந்து வேறுபடலாம்.
4. NGINX Plus மற்றும் டைனமிக் மாட்யூல்களின் பண்புகள் அவற்றின் அதிகாரப்பூர்வ மேலாண்மை கருவிகளைப் பயன்படுத்தி உறுதிப்படுத்தப்பட வேண்டும்.

4.4 நம்பகமான சேனல்கள் மூலம் சரிசெய்தல்

Debian/Ubuntu (அதிகாரப்பூர்வ விநியோக களஞ்சியம்):

sudo apt-get update
apt-cache policy nginx

# 升级发行版仓库中已经安装的 NGINX 及相关包；
# 先确认 Candidate 属于修复版本，再执行升级。
sudo apt-get install --only-upgrade nginx

# 对实际安装的 nginx-core / nginx-full / nginx-extras 等包
# 确认它们的版本和依赖一同达到厂商修复要求。
dpkg-query -W 'nginx*' 2>/dev/null

இந்தக் கட்டளைகளின் தொகுப்பு இன்னும் கிடைக்காத காற்றில் இருந்து பாதுகாப்புத் திருத்தங்களை உருவாக்க முடியாது. குறிப்பாக Debian 12 க்கு, மேம்படுத்தப்பட்ட தொகுப்பு பாதுகாப்பு கண்காணிப்பு அமைப்பால் இன்னும் பாதிக்கப்படக்கூடியதாகக் கருதப்பட்டால், கூடுதல் விற்பனையாளர் பழுது, தனிமைப்படுத்தல் அல்லது இடம்பெயர்வு நடவடிக்கைகள் தேவை. S13S14S15

nginx.org அதிகாரப்பூர்வ தொகுப்பு:

# 先确认仓库来自 nginx.org、目标分支和候选版本
apt-cache policy nginx
# 经变更审批后再执行对应仓库的升级命令
sudo apt-get install --only-upgrade nginx

சுய-தொகுக்கப்பட்ட, OpenResty, Tengine அல்லது NGINX Plus ஆகியவற்றைப் பயன்படுத்தினால், தொடர்புடைய பராமரிப்பாளரால் ஆதரிக்கப்படும் பிழைத்திருத்த பதிப்பைப் பயன்படுத்தவும் மற்றும் nginx.org, விநியோகம் மற்றும் மூன்றாம் தரப்பு களஞ்சிய தொகுப்புகளை கலக்க வேண்டாம். அசல் பைனரிகள்/படங்கள், உள்ளமைவுகள், கையொப்பங்கள் மற்றும் ரோல்பேக் வரிசைப்படுத்தல் வெளிப்பாடுகள் பாதுகாக்கப்பட வேண்டும்.

கொள்கலன்கள்/Kubernetes: மாறாத படத்தைப் புதுப்பித்து, அதன் செரிமானத்தைப் பதிவுசெய்து, அனைத்து பழைய பிரதிகளையும் ஸ்டேஜ் செய்யப்பட்ட வெளியீடு மூலம் மாற்றவும். kubectl rollout status வரிசைப்படுத்தல் கட்டுப்படுத்தி முடிந்தது என்பதை உறுதிப்படுத்துகிறது; பட செரிமானம், நுழைவு ரூட்டிங் மற்றும் ஆரோக்கியமற்ற பிரதிகளை சரிபார்க்கவும்.

4.5 உள்ளமைவை சரிபார்த்து பழைய Worker ஐ மாற்றவும்

sudo nginx -t
# 按服务实际名称、主机高可用和变更窗口执行重启
sudo systemctl restart nginx
sudo systemctl status nginx --no-pager

# 核查真正存在的 master / worker
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

nginx -s reload ஐ புதிய பைனரி இயங்குகிறது என்பதற்கான ஆதாரமாகக் கருத வேண்டாம்: சாதாரண உள்ளமைவு மறுஏற்றம் பழைய master அதன் இயங்கக்கூடியதை மாற்றாமல் புதிய பணியாளர்களைத் தொடங்க அனுமதிக்கும். NGINX ஒரு பிரத்யேக ஆன்லைன் பைனரி மேம்படுத்தல் செயல்முறையை ஆதரிக்கிறது, ஆனால் அதற்கு கூடுதல் படிகள் மற்றும் சரிபார்ப்பு தேவைப்படுகிறது. நிறுவப்பட்ட நடைமுறை இல்லாமல், சேவையை மறுதொடக்கம் செய்வதைத் தொடர்ந்து அதிக கிடைக்கும் போக்குவரத்து சுவிட்சைப் பயன்படுத்தவும் அல்லது மாற்று கொள்கலன்களை உருட்டவும். S22

systemd சாக்கெட், கன்டெய்னர் நுழைவு ஸ்கிரிப்ட் அல்லது பல நிறுவல்கள் மூலம் NGINX ஐ நீங்கள் நிர்வகித்தால், systemctl restart nginx அனைத்து நிகழ்வுகளையும் நேரடியாகக் கருதுவதற்குப் பதிலாக உண்மையான துவக்க இலக்கு மற்றும் செயல்முறைப் பாதையைச் சரிபார்க்க வேண்டும்.

4.6 உண்மையான வெளிப்புற நுழைவாயிலில் இருந்து வணிக பின்னடைவை ஏற்றுக்கொண்டு செய்யுங்கள்

குறைந்தபட்சம் செய்ய பரிந்துரைக்கப்படுகிறது:

• சாதாரண HTTPS, மீண்டும் எழுதப்பட்ட வழிகள், நிலையான ஆதாரங்கள் மற்றும் alias மேப்பிங் பக்கங்கள் சரியானதா.
• வழக்கமான map விநியோகம், மாறி root பாதை, அணுகல் பதிவு பாதை, SNI/சான்றிதழ் ரூட்டிங் மற்றும் Stream ப்ராக்ஸி சரியானதா.
• சாதாரண பதிவேற்றங்கள், துண்டிக்கப்பட்ட பதிவேற்றங்கள், API கோரிக்கைகள் மற்றும் HTTP/3 க்கான அப்ஸ்ட்ரீம் வால்யூம் வரம்புகள் (இயக்கப்படும் போது) எதிர்பார்த்தபடியே உள்ளன.
• mTLS: முறையான சான்றிதழ் கோரிக்கைகள் வெற்றிபெற வேண்டும்; விடுபட்ட, காலாவதியான அல்லது அங்கீகரிக்கப்படாத சான்றிதழ்கள் இன்னும் நிராகரிக்கப்பட வேண்டும், மேலும் TLS மறுதொடக்கம்/மீண்டும் இணைப்பு தற்செயலாக அனுமதிகளை மாற்றக்கூடாது.
• SSI பக்கமும் ஒத்திசைவற்ற கோப்பு அணுகலும் இயல்பானதா; பிழை பதிவு நினைவக குறிப்புகளுக்கான அசாதாரண கோரிக்கைகள் அல்லது மீண்டும் மீண்டும் Worker செயலிழப்புகளைக் காட்டுகிறது.
• ட்ராஃபிக் மாறிய பிறகு, பழைய பதிப்பு செயல்முறை மற்றும் பழைய படப் பிரதி ஆகியவை வெளியேறியிருக்க வேண்டும்.

சொந்த அல்லது அங்கீகரிக்கப்பட்ட சூழலில் சோதனை நடத்தப்பட வேண்டும். சாதாரண கோரிக்கை புகை சோதனை மட்டும் நினைவக பாதிப்பு சரி செய்யப்பட்டுள்ளது என்பதை நிரூபிக்க முடியாது; இறுதியில், சப்ளையரின் நிலையான பதிப்பு, மூல குறியீடு இணைப்பு மற்றும் இயக்க நேர சோதனை ஆகியவை ஏற்றுக்கொள்ளப்படுவதற்கு கூட்டாக ஏற்றுக்கொள்ளப்பட வேண்டும்.

5. உடனடி மேம்படுத்தல் சாத்தியமில்லாத போது தணிப்பு நடவடிக்கைகள்

இந்த பகுதி ஒரு இடர் குறைப்பு விருப்பமாகும், ஒரு இணைப்பு மாற்று அல்ல. அனைத்து தற்காலிக உள்ளமைவு மாற்றங்களும் காப்புப் பிரதி எடுக்கப்பட்டு, nginx -t செயல்படுத்தப்பட்டு, தொகுதிகளாக வெளியிடப்பட்டு, தேவைப்பட்டால் விரைவாகச் சுருட்டப்பட வேண்டும். S3S4

5.1 வெளிப்புற வெளிப்பாட்டின் அடிப்படையில் போக்குவரத்து முன்னுரிமையைக் கட்டுப்படுத்தவும்

சரியான நேரத்தில் மேம்படுத்த முடியாத சேவைகளின் தாக்குதல் மேற்பரப்பைக் குறைப்பதற்கு முன்னுரிமை கொடுங்கள்: மேலாண்மை மேற்பரப்பு மற்றும் உள் API நம்பகமான மூல அணுகல் கட்டுப்பாடு, அப்ஸ்ட்ரீம் நெட்வொர்க் தனிமைப்படுத்தல் அல்லது குறுகிய கால ஆஃப்லைனில் சேர்; அதிக ஆபத்துள்ள நுழைவாயில்களுக்கு இணைப்பு, கோரிக்கை அமைப்பு மற்றும் கட்டண வரம்புகளைச் சேர்க்கவும்; கோரிக்கை செயலாக்கச் சங்கிலிக்கு முன் நுழைவு தொடர்பான NGINX இல் மூல அங்கீகாரம் நிகழும் என்பதை உறுதிப்படுத்தவும். பெரும்பாலான பாதிப்புகள் தரவுத் தளத்தின் உள்ளே NGINX இல் அமைந்துள்ளன என்பதைக் கவனத்தில் கொள்ள வேண்டும், பாரம்பரிய WAF விதிகள் தனிப்பயன் உள்ளமைவு தூண்டுதல் நிலைமைகளைத் துல்லியமாக தீர்மானிக்காது.

5.2 alias / rewrite: மீண்டும் எழுதிய பிறகு $request_filename மதிப்பீட்டைத் தவிர்க்கவும்

சரிபார்த்து சரிசெய்ய பரிந்துரைக்கப்படுகிறது:

• alias ஐப் பயன்படுத்தி location அதே நேரத்தில் URI ஐ மாற்றும் rewrite ஐச் செய்யாமல் இருக்க முயற்சிக்கவும்.
• URI மீண்டும் எழுதப்பட்டாலும் சரியான நிலைப் பொருத்தம் இன்னும் முடிவடையாதபோது $request_filename ஐப் பயன்படுத்துவதைத் தவிர்க்கவும்.
• return, set, if, add_header, அணுகல் பதிவு வடிவம் மற்றும் கோப்புகளை உள்ளடக்கிய மறைமுக மாறிக் குறிப்புகளைச் சரிபார்க்கவும்.
• வணிகம் அனுமதிக்கும் போது தெளிவான root/try_files/சுதந்திரமான location ஐப் பயன்படுத்தவும், ஆனால் alias என்பதை root ஆக மாற்றவும். இது கோப்பு பாதையின் சொற்பொருளையும் மாற்றலாம், இது ஒவ்வொன்றாக சரிபார்க்கப்பட வேண்டும்.

ஏற்கனவே உள்ள உள்ளமைவை மேலெழுத இணையத்தில் உள்ள பொதுவான “பாதுகாப்பான மீள்எழுது டெம்ப்ளேட்டை” நேரடியாக நகலெடுக்க வேண்டாம். வெவ்வேறு location முன்னொட்டுகள் மற்றும் மீண்டும் எழுதும் இலக்குகள் முற்றிலும் வேறுபட்ட அர்த்தங்களுடன் பாதையை பிளவுபடுத்துகின்றன. S5

5.3 map/Regex: பிடிப்பு மாறி நிலை கலவையைக் குறைக்கவும்

$1 போன்ற அநாமதேயப் பிடிப்புகளை காலப்போக்கில் வெவ்வேறு ரீஜெக்ஸ் மதிப்பீட்டுப் பாதைகளில் மீண்டும் பயன்படுத்த அனுமதிப்பதை விட, பெயரிடப்பட்ட பிடிப்புகளுக்கு முன்னுரிமை அளித்து, அவற்றின் பரவல் நோக்கத்தை மட்டுப்படுத்த பரிந்துரைக்கப்படுகிறது. உதாரணமாக:

# 演示具名捕获的结构，实际变量名和匹配表达式须按业务调整
map $host $tenant_root {
    default /srv/www/default;
    ~^(?<tenant>[a-z0-9-]+)\.example\.net$ /srv/www/$tenant;
}

இந்த துணுக்கு மாறி உரிமையின் எளிதான தணிக்கை கட்டமைப்பை மட்டுமே நிரூபிக்கிறது; அனைத்து CVE-2026-93479 தூண்டுதல் பாதைகளையும் சுயாதீனமாக அகற்றுவது நிரூபிக்கப்பட்டுள்ளது என்று அர்த்தமல்ல. குறிப்பாக, மற்ற root அல்லது log_format மூலம் பிடிப்பு மாறிகள் குறிப்பிடப்படுகின்றனவா என்பதையும், volatile, டைனமிக் பாதைகள் மற்றும் ஒன்றோடொன்று சார்ந்த மதிப்பீட்டுச் சங்கிலிகள் உள்ளதா என்பதையும் மதிப்பாய்வு செய்யவும். F5/CERT பெயரிடப்பட்ட பிடிப்பைப் பயன்படுத்துவதைப் பரிந்துரைக்கிறது மற்றும் குறுகிய கால நிவாரணமாக தொடர்புடைய வழக்கமான பொருந்தும் உள்ளமைவுக்கு பயன்பாட்டின் நோக்கத்தை கட்டுப்படுத்துகிறது. S3S6

5.4 AIO + SSI: தேவையற்ற செயல்பாடு சேர்க்கைகளை முடக்கு

SSI அல்லது ஒத்திசைவற்ற கோப்பு I/O தேவையில்லாத சர்வர்கள்/பாதைகளுக்கு, பயன்படுத்தவும்:

# 在适当的 http/server/location 上下文中配置
ssi off;
aio off;

பாதிப்பைத் தூண்டும் நிலைமைகளின் கண்ணோட்டத்தில், விவரிக்கப்பட்டுள்ள குறிப்பிட்ட சங்கிலியை அகற்ற, இரண்டில் ஒன்றை மூடுவது பொதுவாக போதுமானது; அதே நேரத்தில் மூடுவது வணிகமானது இந்தத் திறனைச் சார்ந்திருக்காத சூழ்நிலைகளுக்கு மட்டுமே பொருந்தும். include virtual, துணை கோரிக்கைகள், கேச் மற்றும் த்ரெட் பூல் நடத்தை ஆகியவற்றைச் சரிபார்க்கவும்; ரிவர்ஸ் ப்ராக்ஸி சுமை அதிகமாக இருக்கும்போது, ​​AIO ஐ நிறுத்துவது தாமதம் மற்றும் I/O செயல்திறனை மாற்றலாம். S7

5.5 HTTP/3 உடல் ஊசியைக் கோரவும்: தேவைப்பட்டால் நுழைவாயிலை தற்காலிகமாக மூடவும்

முடக்கு quic சம்பந்தப்பட்ட கேட்பவர் HTTP/3 , ரத்து Alt-Svc அறிவிக்கும் பதில் தலைப்பு HTTP/3 , மற்றும் எட்ஜ் லேயர்/லோட் பேலன்சர் இன்னும் அனுப்புகிறதா என்பதைச் சரிபார்க்கவும் QUIC பழுதுபார்க்கப்படாதவர்களிடம் நேரடியாக கோரிக்கை விடுக்கப்படுகிறது NGINX :

# 示意：保留 HTTPS/TCP；暂时移除此前的 QUIC/UDP listen
server {
    listen 443 ssl;  # 保留 HTTPS/TCP 入口
    # 对支持新版语法的构建，可在此使用 http2 on;
    # 删除原有的 listen 443 quic reuseport;
    # 删除原有的 add_header Alt-Svc ...;（仅限宣传 h3 的那项）
    # 其余证书、server_name、location 等配置保持不变
}

மேலே உள்ளவை மாற்ற வேறுபாட்டின் விளக்கமே தவிர, தனித்தனியாக இயக்கக்கூடிய முழுமையான சர்வர் உள்ளமைவு அல்ல. HTTP/2 இன் அமைப்பு தொடரியல் NGINX பதிப்புடன் தொடர்புடையது; நீங்கள் HTTP/2 ஐத் தக்க வைத்துக் கொள்ள வேண்டும் என்றால், நீங்கள் http2 on; அல்லது தொடர்புடைய பதிப்பின்படி ஏற்கனவே உள்ள செல்லுபடியாகும் தொடரியல் பயன்படுத்த வேண்டும், மேலும் nginx -t உடன் சரிபார்க்கவும். வரிசைப்படுத்துவதற்கு முன், இந்தப் பிரிவை முழுப் பகுதியையும் மாற்றுவதற்குப் பதிலாக, ஏற்கனவே உள்ள சர்வர் உள்ளமைவுடன் இணைக்கப்பட வேண்டும். UDP 443 ஃபயர்வால், HTTP/3 முடிவு இடம் மற்றும் CDN/front ப்ராக்ஸியின் கிளையன்ட் ஃபால்பேக் பாதையையும் சரிபார்க்கிறது.

பாதிக்கப்பட்ட ப்ராக்ஸி பாதையில் proxy_request_buffering off; ஐப் பயன்படுத்துவது மற்றொரு வகை குறுகிய காலத் தணிப்பு ஆகும், ஆனால் இது அப்ஸ்ட்ரீம் கோரிக்கை பாடி ஸ்ட்ரீமிங், தோல்வி மறு முயற்சிகள் மற்றும் சில பதிவேற்ற பணிப்பாய்வுகளின் நடத்தையை மாற்றும்; போதுமான சோதனை மற்றும் உத்தரவு பாதிக்கப்பட்ட HTTP/3 ப்ராக்ஸி பாதையைத் தாக்கும் என்பதை உறுதிப்படுத்திய பின்னரே பயன்படுத்தப்படும். S8S18

5.6 TLS அமர்வு டிக்கெட்: முன்னுரிமை பாதுகாப்பு mTLS அங்கீகார எல்லை

மேம்படுத்தல் சாத்தியமில்லை மற்றும் நிகழ்வு பகிர்ந்த அமர்வு கேச் + தானியங்கி டிக்கெட் விசை சுழற்சியை நம்பியிருந்தால், மதிப்பீடு செய்யவும்:

# 在 nginx http/server 适当作用域进行配置
ssl_session_tickets off;

இது TLS அமர்வு டிக்கெட் பொறிமுறையை முடக்கலாம், இதன் மூலம் இந்த பாதிப்பில் விவரிக்கப்பட்டுள்ள டிக்கெட் மோசடி பாதையை அகற்றலாம்; இருப்பினும், இது அமர்வு மறுதொடக்கம் செயல்திறனை பாதிக்கலாம். “பாதிப்புகளைத் தவிர்க்க” mTLS கிளையன்ட் சான்றிதழ் சரிபார்ப்பை நீங்கள் முடக்க முடியாது, ஏனெனில் அது அசல் அங்கீகார எல்லையை நேரடியாக நீக்கிவிடும். S9S12

வெளிப்படையான ssl_session_ticket_key கோப்புகள் மற்றும் பாதுகாப்பான சுழற்சி ஆகியவை தொழில்முறை TLS மேலாண்மை செயல்முறைகளால் தானாக உருவாக்கப்பட்ட நிலைமைகளைத் தவிர்க்கப் பயன்படுத்தலாம், ஆனால் முக்கியக் காவல், முழு முனை விநியோகம், சுழற்சி மற்றும் பழைய டிக்கெட் வாழ்க்கைச் சுழற்சிகள் அனைத்தையும் கவனமாக தணிக்கை செய்ய வேண்டும். தற்காலிக அவசரநிலைகளுக்கு சாதாரண வலை கட்டமைப்பு அல்லது ஸ்கிரிப்ட்களில் நீண்ட கால மறுபயன்பாட்டு விசையை ஹார்ட்கோட் செய்ய பரிந்துரைக்கப்படவில்லை. mTLS ஐப் பயன்படுத்தும் முக்கியமான சேவைகள், TLS அமர்வு மறுதொடக்க நடத்தை மற்றும் சரியான கிளையன்ட் சான்றிதழ் இல்லாமல் கோரிக்கைகளை நிராகரிப்பதைக் கண்காணிக்க வேண்டும். S12

5.7 இயக்க முறைமை மற்றும் எல்லைப் பாதுகாப்பின் பங்கு

# Linux：常见值 2 表示进程地址空间随机化处于完整启用状态
sysctl kernel.randomize_va_space

ASLR, root அல்லாத பணியாளர்கள், படிக்க-மட்டும் கொள்கலன் கோப்பு முறைமைகள், குறைந்தபட்ச கோப்பு அனுமதிகள் மற்றும் நெட்வொர்க் தனிமைப்படுத்தல் ஆகியவை சாத்தியமான RCE இன் தாக்கத்தைக் குறைக்கும். ASLR குவியல் வழிதல் அல்லது UAF சரி செய்யாது மற்றும் தொழிலாளர்கள் செயலிழக்க மாட்டார்கள் என்று உத்தரவாதம் அளிக்க முடியாது. WAF, கட்டண வரம்புகள் மற்றும் கோரிக்கை உடல் அளவு வரம்புகள் TLS டிக்கெட் விசை ஒத்திசைவை சரிசெய்யவில்லை. S4

5.8 பொதுவான தவறான புரிதல்: பழுதுபார்ப்பை முடிக்க இந்த செயல்பாடுகள் போதுமானதாக இல்லை

பொதுவான செயல்பாடுகள்	அது ஏன் போதாது?
“nginx -v ஒப்பீட்டளவில் புதியதாக தோன்றுகிறது”	இது எந்தக் கிளையைச் சேர்ந்தது, வெளியீட்டுப் பதிப்பின் முழுமையான பேக்போர்ட் செய்யப்பட்ட தொகுப்பு பதிப்பு மற்றும் ஆன்லைன் செயல்முறை ஆகியவை சரிபார்க்கப்படவில்லை.
”இன்ட்ராநெட்களில் ஒன்று மட்டுமே மேம்படுத்தப்பட்டது”	பழைய Worker/பழைய கொள்கலன்/பழைய CDN மூல நிகழ்வு இன்னும் கோரிக்கைகளைப் பெறுகிறது
”தளம் PHP/டைனமிக் குறிச்சொற்களைப் பயன்படுத்தாது”	குறைபாடு NGINX கோர் பாதை அல்லது நெறிமுறை பாகுபடுத்தலில் ஏற்படுகிறது மற்றும் PHP செயல்படுத்தலை நம்பவில்லை.
”WAF/Cloudflare திறப்பது போதும்”	WAF அனைத்து NGINX உள்ளமைவு சார்ந்த நினைவக குறைபாடுகள் அல்லது TLS மறுதொடக்கம் குறைபாடுகளை தடுக்கிறது என்பதை நிரூபிக்க முடியாது
”ஏற்கனவே திறக்கப்பட்டுள்ளது ASLR”	சிரமத்தைக் குறைப்பதைப் பயன்படுத்திக் கொள்வது; DoS கோரிக்கை ஊசி மூலம் இன்னும் சாத்தியம்
”HTTP/3 பொது நெட்வொர்க்கிற்கு வெளிப்படவில்லை, எனவே மேம்படுத்த வேண்டிய அவசியமில்லை”	மற்ற நான்கு CVE களுக்கு இன்னும் சுயாதீன மதிப்பீடு தேவைப்படுகிறது; மற்றும் மறைக்கப்பட்ட தோற்றங்களுக்கு நேரடி இணைப்புகள் இருக்கலாம்
”ஜூலை map பாதிப்பு சரி செய்யப்பட்டது”	அக்டோபர் CVE-2026-93479 ஸ்கிரிப்ட் மதிப்பீட்டு பின்னடைவு சிக்கல்களை உள்ளடக்கியது
”கேச்சிங்கை முடக்குவது எல்லா பிரச்சனைகளையும் தீர்க்கிறது”	சில TLS கேச் அல்லது AIO காட்சிகளை மட்டுமே பாதிக்கும், மாற்றுப்பெயர், ஸ்கிரிப்ட், HTTP/3 ஆகியவற்றை உள்ளடக்காது

6. அதிகாரப்பூர்வ பேட்ச் செயல்படுத்தல் யோசனைகள் மற்றும் மதிப்பாய்வு புள்ளிகள்

இந்தப் பிரிவு அக்டோபர் 2026 அப்ஸ்ட்ரீம் NGINX திருத்தங்களைப் பின்பற்றுகிறது. இணைப்பு மதிப்பாய்வுக்கான பிரதிநிதித்துவ மாற்றங்களை துணுக்குகள் விளக்குகின்றன; அவை முழுமையானவை அல்ல, சுயாதீனமாக தொகுக்கக்கூடிய திருத்தங்கள். தனிப்பயன் உருவாக்கங்களுக்கு, முழு கமிட்கள், சுற்றியுள்ள குறியீடு மற்றும் சோதனைகள் ஆகியவற்றை மதிப்பாய்வு செய்து, முழுமையான ஆதரவு வெளியீட்டை விரும்பவும். S5S6S7S8S9

6.1 CVE-2026-15176: alias பாதை மேப்பிங் நிராகரிப்பு நிபந்தனைகளை சேர்க்க URI மீண்டும் எழுதப்பட்டது

src/http/ngx_http_core_module.c இல் அப்ஸ்ட்ரீம் கமிட் மாற்றியமைக்கப்பட்ட ngx_http_map_uri_to_path():

- if (alias && !r->valid_location) {
+ if (alias && (!r->valid_location || r->uri_changed)) {

மறுபரிசீலனை கவனம்: URI மாறும்போது கோப்பு முறைமை பாதையை தொடர்ந்து கணக்கிட முடியாது, ஆனால் alias இன் தொடர்புடைய இருப்பிட சொற்பொருள் நம்பகத்தன்மையற்றது. இது மாநிலத்திற்கு முந்தைய தடையை மேம்படுத்துவதாகும். URI கோரிக்கையில் சட்டவிரோத எழுத்துக்கள் உள்ளதா என்பது ஒரு எளிய சோதனை அல்ல. S5

6.2 CVE-2026-93479: வெளியீட்டுத் தரவு நீளம் மற்றும் ஒதுக்கப்பட்ட நீளம் ஆகியவற்றைச் சரியாக வேறுபடுத்துங்கள்

அப்ஸ்ட்ரீம் கமிட் புதுப்பிப்புகள் src/http/ngx_http_script.c மற்றும் src/stream/ngx_stream_script.c ஒரே நேரத்தில். முக்கிய நோக்கத்தை இவ்வாறு சுருக்கமாகக் கூறலாம்:

- n = len;
+ n = 0;
  /* ...计算实际脚本输出长度... */
- value->len = n;
- value->data = ngx_pnalloc(pool, n);
+ value->len = n + len;
+ value->data = ngx_pnalloc(pool, n + len);

இங்கே, pool என்பது ஒரு விளக்க அளவுரு பெயர்: உண்மையான HTTP மற்றும் Stream ஒதுக்கீடு வெளிப்பாடுகள் வேறுபடுகின்றன. மாற்றம் முதலில் ஸ்கிரிப்ட் வெளியீட்டு நீளத்தைக் கணக்கிடுகிறது, பின்னர் இறுதி ஒதுக்கீட்டில் ஒதுக்கப்பட்ட நீளத்தைச் சேர்க்கிறது, எனவே வெளியீடு ஒதுக்கப்பட்ட இடத்தை மேலெழுதுவதில்லை. S6

தணிக்கை மற்றும் பேக்போர்ட் செய்யும் போது, HTTP/Stream இன் தொடர்புடைய மதிப்பீட்டாளரும் பாதுகாக்கப்பட வேண்டும்; map இன் உள்ளமைவு தொடரியல் கோப்பை மட்டும் சரிபார்ப்பதன் மூலம் குறைபாடு சரி செய்யப்பட்டுள்ளது என்பதை நிரூபிக்க முடியாது.

6.3 CVE-2026-97205: 8-பிட் ஒத்திசைவற்ற செயல்பாட்டு எண்ணிக்கைக்கான பாதுகாப்பு வரம்பை அமைக்கவும்

src/http/ngx_http_request.h இல் அப்ஸ்ட்ரீம் சேர்க்கப்பட்டது:

#define NGX_HTTP_MAX_BLOCKED 250

ஒத்திசைவற்ற கோப்பு வாசிப்பு, கேச் காத்திருப்பு, வெளியீடு வடிகட்டுதல் மற்றும் நூல் செயல்பாடு ஆகியவற்றில் இதே போன்ற உள்ளீடுகளைச் சேர்க்கவும்:

if (r->main->blocked >= NGX_HTTP_MAX_BLOCKED) {
    /* 使用同步路径，或者拒绝新的异步操作 */
}

மறுஆய்வு கவனம்: r->main->blocked ஐ சேர்க்கும் அனைத்து உண்மையான குறியீடு பாதைகளும் மறைக்கப்பட வேண்டும். நீங்கள் தலைப்பு கோப்பில் த்ரெஷோல்ட் மாறிலியை மட்டும் எழுத முடியாது. சின்க்ரோனஸ் ஃபால்பேக், ஒத்திசைவற்ற கால்பேக் மற்றும் எர்ரர் ரிட்டர்ன் ஆகியவற்றின் முழுமையான ஒருங்கிணைப்பையும் பேக்போர்ட் சரிபார்க்க வேண்டும், இது பணிகளின் நேரடி நிராகரிப்பால் டெட்லாக் அல்லது குறிப்பு கசிவு ஏற்படாது என்பதை உறுதிப்படுத்துகிறது. S7

6.4 CVE-2026-95101: தெரியாத பிரேம்களுக்கு தனித்தனியாக skip நிலையை பராமரிக்கவும்

அப்ஸ்ட்ரீம் skip புலத்தை HTTP/3 பாகுபடுத்தி நிலை கட்டமைப்பில் சேர்க்கிறது மற்றும் நிலைப் பிரிப்பைச் செய்கிறது:

if (st->type != NGX_HTTP_V3_FRAME_DATA && st->length > 0) {
    st->skip = st->length;
    st->length = 0;
    st->state = sw_skip;
}
/* ... */
rc = ngx_http_v3_parse_skip(b, &st->skip);

முக்கியமானது “தெரியாத HTTP/3 பிரேம்களை முடக்குவது” அல்ல, ஆனால் பல வாசிப்புகளில், தவிர்க்கப்பட்ட பைட் எண்ணிக்கை மற்றும் DATA பேலோட் நீளம் எப்போதும் சுதந்திரமான மாநிலங்களால் நிர்வகிக்கப்படுகின்றன. மதிப்புரைகள் அறியப்படாத ஃபிரேம் கிராஸ்-பஃபர் ஷார்டிங் மற்றும் client_max_body_size இன் இறுதியில் நிலைத்தன்மையில் கவனம் செலுத்த வேண்டும். S8

6.5 CVE-2026-97629: முழுமையான TLS கீ ஸ்லாட் வரிசையை ஒத்திசைக்கவும்

அப்ஸ்ட்ரீம் மாற்றங்கள் src/event/ngx_event_openssl.c இல் உள்ளன:

  ngx_memcpy(keys->elts, cache->ticket_keys,
-            2 * sizeof(ngx_ssl_ticket_key_t));
+            keys->nelts * sizeof(ngx_ssl_ticket_key_t));

அசல் படத்தில் மூன்று முக்கிய இடங்கள் இருந்தன, ஆனால் முதல் இரண்டு மட்டுமே நகலெடுக்கப்பட்டது. அதற்கு பதிலாக, Worker இன் வாக்களிப்பு விசை தொகுப்பு பகிரப்பட்ட நினைவகத்துடன் ஒத்துப்போவதை உறுதிசெய்ய, வரிசை உறுப்புகளின் உண்மையான எண்ணிக்கையின் அடிப்படையில் ஒத்திசைக்கவும். மதிப்பாய்வு செய்யும் போது, ​​memcpy நீள மாற்றத்தை ஒருமுறை சரிபார்க்காமல், வரிசை ஒதுக்கீடு, துவக்கம், பகிரப்பட்ட பூட்டு மற்றும் சுழற்சி தர்க்கம் ஆகியவை சீரானவை என்பதை உறுதிப்படுத்தவும். S9

6.6 ஏன் சிதறிய பேட்ச் துண்டுகளை மட்டும் பயன்படுத்த பரிந்துரைக்கப்படவில்லை?

இந்த ஐந்து மாற்றங்களும் முறையே src/http, src/stream, src/http/v3 மற்றும் src/event வரை பரவியுள்ளது, மேலும் பழைய பதிப்புகளில் பாதுகாப்பு பேக்போர்ட்கள் மற்றும் அதிகாரப்பூர்வமற்ற நீட்டிப்புகள் இருக்கலாம். பேக்போர்ட்டிங் பின்வரும் காசோலை மேட்ரிக்ஸை உருவாக்க வேண்டும்:

பொருளை சரிபார்க்கவும்	என்ன உறுதிப்படுத்தப்பட வேண்டும்
இணைப்பு மூல	அதிகாரப்பூர்வ சமர்ப்பிப்பு, பொருத்தமான இலக்கு பதிப்பு, முழுமையான இணைப்பு மற்றும் கையொப்ப சரிபார்ப்பு
அசல் இணைப்பு தொகுப்பு	CVE-2026-42533, விநியோக பேக்போர்ட் போன்ற வரலாற்று மாற்றங்களுடன் முரண்படாது.
குறியீடு பாதை	HTTP + Stream ஸ்கிரிப்ட், AIO/த்ரெட், HTTP/3, OpenSSL டிக்கெட் அனைத்தும் மூடப்பட்டிருக்கும்
தொகுக்கப்பட்டது இணக்கமானது	OpenSSL, PCRE, தொகுதி ABI, டைனமிக் தொகுதி மற்றும் இணைப்பு சார்புகள் சீரானவை
செயல்பாட்டு பின்னடைவு	alias மீண்டும் எழுதுதல், டைனமிக் பதிவு, SSI/AIO, HTTP/3 பதிவேற்றம், mTLS அமர்வு மறுதொடக்கம்
இயக்க நேரம்	அனைத்து Worker/Podகளும் புதிய சரிபார்க்கப்பட்ட உருவாக்கங்களை இயக்குகின்றன, மரபுப் படங்கள் எதுவும் இல்லை

தங்கள் சொந்த வெளியீடுகளை பராமரிக்கும் குழுக்களுக்கு, ஒவ்வொரு CVE க்கும் தணிக்கை செய்யக்கூடிய பேட்ச் ஐடிகள், தொகுப்பு பதிப்புகள், உருவாக்க பதிவுகள் மற்றும் பின்னடைவு அறிக்கைகளை வைத்திருக்க பரிந்துரைக்கப்படுகிறது; சாதாரண செயல்பாடு மற்றும் பராமரிப்புக்கு, விற்பனையாளரின் முழுமையான பாதுகாப்பு புதுப்பிப்புகளை நிறுவுவதே பாதுகாப்பான தீர்வாகும்.

7. வரலாற்று பாதிப்பு பின்னடைவு, பழைய கிளைகள் மற்றும் பிற தயாரிப்புகள்

7.1 NGINX முக்கிய பாதிப்பு மே முதல் செப்டம்பர் 2026 வரை ஒரே நேரத்தில் உறுதிப்படுத்தலுக்கு தகுதியானது

நீண்ட காலமாக புதுப்பிக்கப்படாத பல NGINX நிகழ்வுகள் அக்டோபர் மாதத்தின் புதிய இதழால் மட்டும் பாதிக்கப்படவில்லை. எதிர்காலத்தில் பின்வரும் பிரதிநிதித்துவ பழுதுபார்க்கும் முனைகள் உள்ளன: S1S2

CVE	முதல் சரிசெய்தல் வெளியீடு	தணிக்கை தேவைப்படும் முக்கிய அபாயங்கள் மற்றும் நிபந்தனைகள்
CVE-2026-42945	Stable 1.30.1 / Mainline 1.31.0, மே 13	rewrite அநாமதேய ரீஜெக்ஸ் பிடிப்பு மற்றும் மாற்று லாஜிக் குவிப்பு வழிதல், சாத்தியமான RCE தூண்டுகிறது; காட்டுக்குள் தாக்குதல் முயற்சிகள் பற்றிய பொது அறிக்கைகள் உள்ளன
CVE-2026-9256	Stable 1.30.2 / Mainline 1.31.1, மே 22	rewrite இல் ரீஜெக்ஸ் பிடிப்பு மற்றும் நீளக் கணிப்பு மேலெழுத வழிவகுத்தது
CVE-2026-42055	Stable 1.30.3 / Mainline 1.31.2, ஜூன் 17	HTTP/2 அப்ஸ்ட்ரீம் அல்லது gRPCக்கான குறிப்பிட்ட உள்ளமைவு, பெரிய கோரிக்கை தலைப்பு நிலை இடையக வழிதல் தூண்டுகிறது
CVE-2026-42530	Mainline 1.31.2, ஜூன் 17	HTTP/3-க்குப் பிறகு-இலவசம்; அதிகாரப்பூர்வ குறி பாதிக்கப்பட்ட வரம்பு 1.31.0–1.31.1
CVE-2026-42533	Stable 1.30.4 / Mainline 1.31.3, ஜூலை 15	map + regex பிடிப்பு மாறி மதிப்பீடு குவியல் வழிதல் ஏற்படுகிறது, மேலும் அடுத்தடுத்த இணைப்புகள் அக்டோபர் மாதத்தில் CVE-2026-93479 உடன் பின்னடைவு தொடர்பைக் கொண்டுள்ளன.
CVE-2026-60005	Stable 1.30.4 / Mainline 1.31.3, ஜூலை 15	ngx_http_slice_module நினைவக உள்ளடக்கம் குறிப்பிட்ட மாறி மற்றும் கேச் புதுப்பிப்பு நிலைமைகளின் கீழ் கசிந்தது
CVE-2026-56434	Stable 1.30.4 / Mainline 1.31.3, ஜூலை 15	SSI என்பது UAF உடன் தொடர்புடையது; அக்டோபர் AIO எண்ணும் பாதிப்புக்கு அதே root காரணம் அல்ல
CVE-2026-90439	Stable 1.30.5 / Mainline 1.31.6, செப்டம்பர் 15	HTTP/3 + குறிப்பிட்ட OpenSSL பதிப்பு சேர்க்கையின் வரையறுக்கப்பட்ட குவிப்பு வழிதல், முக்கியமாக செயலிழப்பு/வரையறுக்கப்பட்ட நினைவக சிதைவு என வெளிப்படுகிறது

2026 இல் அறிவிக்கப்பட்ட NGINX கோர், HTTP/2, சார்செட் மற்றும் SMTP போன்ற பிற பாதிப்புகள் அதிகாரப்பூர்வ பாதுகாப்பு புல்லட்டின்களின்படி விசாரிக்கப்பட வேண்டும்; இந்த அட்டவணை வேண்டுமென்றே தற்போதைய NGINX பொது எதிர்கொள்ளும் தலைகீழ் ப்ராக்ஸி வரிசைப்படுத்தல்களுக்கு மிகவும் பொருத்தமான பொதுவான நிகழ்வுகளில் கவனம் செலுத்துகிறது மற்றும் நினைவக பாதுகாப்பு அல்லது கோரிக்கை ஒருமைப்பாடு தாக்கங்களைக் கொண்டுள்ளது. 2026 இல் அனைத்து CVEகளும் இல்லை. பட்டியல். S1

CVE-2026-42945 இல் ஏன் சிறப்பு கவனம் செலுத்த வேண்டும்

மே மாதத்தில் இந்த rewrite பாதிப்புக்கான காட்டுக்குள்ளான சுரண்டல் நடவடிக்கைகள் மற்றும் பொதுச் சுரண்டல் குறியீட்டுத் தகவல்களைப் பதிவு செய்யும் அரசு நிறுவனங்களின் பாதுகாப்பு புல்லட்டின்கள் உள்ளன. எனவே, மே முதல் தற்போது வரை நீண்ட காலமாக இணைக்கப்படாத மற்றும் பொது நெட்வொர்க்கில் திறந்த சிக்கலான வழக்கமான வெளிப்பாடு மீண்டும் எழுதப்பட்ட நிகழ்வுகளுக்கு, பழுதுபார்ப்பதை முடிப்பதுடன், அசாதாரண Worker செயலிழப்பு, அணுகல் பதிவுகள் மற்றும் அந்த நேரத்தில் சந்தேகத்திற்குரிய மாற்றங்கள் ஆகியவை கூடுதலாக மதிப்பாய்வு செய்யப்பட வேண்டும். S23

“தாக்குதல் முயற்சி நடந்தது” என்பது தானாக தாக்குபவர் ஒவ்வொரு இலக்கிலும் கட்டளைகளை நம்பகத்தன்மையுடன் செயல்படுத்தியிருப்பதை நிரூபிக்காது; சம்பவத்தின் பதில் சம்பந்தப்பட்ட போது, ​​சமரசக் குறிகாட்டிகள் மற்றும் செயல்முறை செயலிழப்புகள் சிறப்புரிமை அதிகரிப்பு அல்லது நிலைத்தன்மையின் உண்மையான சான்றுகளிலிருந்து தனித்தனியாக விசாரிக்கப்பட வேண்டும்.

7.2 பழைய பதிப்புகள் மற்றும் விநியோக பேக்போர்ட்களுக்கான தீர்வு

NGINX வெவ்வேறு கிளைகள் அவற்றின் சொந்த ஆதரவு சுழற்சிகள் மற்றும் வெவ்வேறு பாதிப்பு அறிமுக நேரங்களைக் கொண்டுள்ளன. ஐந்து புதிய இணைப்புகளை மறுஆய்வு இல்லாமல் அனைத்து ஆரம்ப மூல மரங்களுக்கும் விரிவுபடுத்த முடியாது.

காட்சி	பரிந்துரைக்கப்பட்ட உத்தி
வெளியீட்டு பதிப்பு முழுமையான பாதுகாப்பு இணைப்புகளை அறிவித்துள்ளது	விற்பனையாளர் தொகுப்புகளைப் பயன்படுத்தவும் மற்றும் முழுமையான தொகுப்பு பதிப்புகளை ஆவணப்படுத்தவும்; பொருந்தாத அப்ஸ்ட்ரீம் வெற்று பைனரிகளை மாற்றுவதைத் தவிர்க்கவும்
Debian 12 மற்றும் பிற பாதிக்கப்பட்ட வெளியீடுகள் இந்தத் தொகுப்பில் உள்ள அனைத்து CVEகளாலும் இன்னும் பாதுகாக்கப்படவில்லை	ரிஸ்க் ஒர்க் ஆர்டர்களைச் சமர்ப்பிக்கவும், வெளிப்புற வெளிப்பாட்டைக் கட்டுப்படுத்தவும் மற்றும் சப்ளையர்/ELTS நிலையைச் சரிபார்க்கவும்; தேவைப்படும் போது சரிபார்க்கக்கூடிய பராமரிப்பு வெளியீட்டு சங்கிலியை நகர்த்தவும் அல்லது பயன்படுத்தவும்
அப்ஸ்ட்ரீம் ஆதரவை முடித்த வரலாற்றுக் கிளைகள்	ஆதரிக்கப்படும் பதிப்புகளுக்கு இடம்பெயர்வதற்கு முன்னுரிமை கொடுங்கள்; குறுகிய கால பேக்போர்ட்டிங் அவசியமானால், பராமரிப்பாளர்கள் சார்புநிலைகள் மற்றும் பேட்ச் இணக்கத்தன்மையை மதிப்பீடு செய்து, முழுமையான சோதனைகளை எழுதுவார்கள்.
NGINX ஃபோர்க் உடன் வருகிறது (OpenResty, Tengine, தனிப்பயனாக்கப்பட்ட கேட்வே)	முதலில் தொடர்புடைய குறியீடு பாதை சேர்க்கப்பட்டுள்ளதா என்பதைத் தீர்மானிக்கவும், பின்னர் ஃபோர்க் பராமரிப்பாளரின் பாதுகாப்பு அறிக்கையைப் பயன்படுத்தவும். இது அப்ஸ்ட்ரீம் பதிப்பிற்கு நேரடியாகச் சமமாக இருக்க முடியாது.
பாதுகாப்பு இணைப்புகள் வணிக செயல்பாட்டில் மாற்றங்களுக்கு வழிவகுக்கும்	ஸ்டேஜ் செய்யப்பட்ட ரோல்அவுட்கள், பதிப்புகளுக்கு இடையே ட்ராஃபிக் மாறுதல் மற்றும் உள்ளமைவு தழுவல் ஆகியவற்றை ஏற்றுக்கொள்; பொது நெட்வொர்க்கின் நிலையான பதிப்பை தனிமைப்படுத்தாமல் மீட்டெடுப்பது பொருத்தமானதல்ல.

7.3 njs, உட்செலுத்துதல் மற்றும் NGINX மையத்திற்கான தனித்தனியான தீர்வு

• njs: NGINX பிரதான நிரலுடன் கூடுதலாக, NGINX JavaScript தொகுதியின் பதிப்பையும் நீங்கள் சரிபார்க்க வேண்டும். njs 1.0.2 ஆனது அக்டோபர் 2026 எக்ஸ்எம்எல் பாகுபடுத்தும் நினைவக சோர்வு மற்றும் எக்ஸ்எம்எல் சரிபார்ப்பு சீரற்ற சிக்கலை சரிசெய்கிறது. nginx-saml ஐப் பயன்படுத்தி XML கையொப்ப சரிபார்ப்புடன் தொடர்புடைய வரிசைப்படுத்தல்களுக்கு, செருகுநிரல் காட்சிகளுக்கான அதிகாரப்பூர்வ njs வழிமுறைகளைப் படிக்க வேண்டும். S20
• F5 NGINX Plus / NGINX இன்க்ரஸ் கன்ட்ரோலர்: பிளஸ், கன்ட்ரோலர் மற்றும் கேட்வே ஃபேப்ரிக் ஒவ்வொன்றும் கூடுதல் பாதுகாப்பு புல்லட்டின்கள், வெவ்வேறு பேக்கேஜிங் பதிப்புகள் மற்றும் தனிப்பட்ட கொள்கை பாதிப்புகளைக் கொண்டிருக்கலாம். ஒரு லேயரை மேம்படுத்துவது என்பது மற்றொரு லேயரை தானாக புதுப்பிப்பதைக் குறிக்காது. S19
• Kubernetes சமூகம் ingress-nginx: Kubernetes அதிகாரிகள் ஏற்கனவே மார்ச் 2026 இல் கட்டுப்படுத்தி பராமரிப்பை நிறுத்திவிட்டதாக அறிவித்துள்ளனர், மேலும் அதன் கிடங்கை F5 கட்டுப்படுத்தியுடன் குழப்ப முடியாது. பாதிக்கப்பட்ட வணிகங்கள், புதிய பாதுகாப்புப் பதிப்பிற்காகக் காத்திருப்பதற்குப் பதிலாக, சுமூகமான இடப்பெயர்வைத் திட்டமிட்டு, உள் நுழைவு குறிப்புகள் மற்றும் Gateway API சொற்பொருள் வேறுபாடுகளைச் சரிபார்க்க வேண்டும். S21

8. ஏற்றுக்கொள்ளும் அளவுகோல்கள் மற்றும் பின்தொடர்தல் ஆய்வுகள்

பணி ஆணைகளை மாற்றுவதற்கான ஏற்றுக்கொள்ளும் நிபந்தனைகளாக பின்வரும் பட்டியலைப் பயன்படுத்த பரிந்துரைக்கப்படுகிறது:

திட்டம்	தகுதி தரநிலைகள்	தக்கவைக்கக்கூடிய சான்றுகள்
சொத்து மற்றும் போர்டல் கவரேஜ்	CDN ஐத் தவிர்க்கக்கூடிய அனைத்து வெளிப்புற மற்றும் நேரடி-இணைக்கப்பட்ட நிகழ்வுகளும் கண்டுபிடிக்கப்பட்டுள்ளன.	டொமைன் பெயர், LB, IP, Pod/கன்டெய்னர் பட்டியல்
தொகுப்பு ஆதாரம் மற்றும் பழுதுபார்க்கும் நோக்கம்	பொருந்தக்கூடிய அனைத்து CVEகளையும் உள்ளடக்குவதற்கு உறுதிப்படுத்தப்பட்ட பதிப்புகளைப் பயன்படுத்தவும்	அப்ஸ்ட்ரீம் பாதுகாப்பு ஆலோசனை, USN/DSA, தொகுப்பு பதிப்பு, பட டைஜெஸ்ட்
பழைய செயல்முறை வெளியேறுகிறது	அனைத்து பழைய master/worker/கன்டெய்னர்கள் மாற்றப்பட்டுள்ளன	PID/தொடக்க நேரம், ரோலிங் வரிசைப்படுத்தல் நிலை, இயங்கும் படம்
கட்டமைப்பு தணிக்கை	அதிக ஆபத்துள்ள சேர்க்கைகள் அகற்றப்பட்டன அல்லது இணைப்புகளால் மூடப்பட்டன, மேலும் பரம்பரை உறவுகள் சரிபார்க்கப்பட்டன	nginx -T இன் சுருக்கம் மற்றும் தணிக்கை பதிவு
TLS/mTLS	நம்பகமான சான்றிதழ்கள் பாஸ்; தவறான அல்லது விடுபட்ட சான்றிதழ்கள் நிராகரிக்கப்படுகின்றன; அமர்வு மறுதொடக்கம் அங்கீகாரத்தைத் தவிர்க்காது	எதிர்மறை/நேர்மறை அங்கீகார சோதனை, கட்டுப்படுத்தப்பட்ட TLS சோதனை முடிவுகள்
HTTP/3 கோரிக்கை அமைப்பு	நிலையான பாதையை இயக்கு; அப்ஸ்ட்ரீம் கோரிக்கை உடல் மற்றும் த்ரோட்லிங் சரியாக செயல்படுகின்றன	HTTP/3, ப்ராக்ஸி பதிவேற்றம், தொகுதி வரம்பு பின்னடைவு சோதனை
SSI/AIO	செயல்பாடு தேவைகளைப் பூர்த்தி செய்கிறது, Worker க்கு அசாதாரணமான செயலிழப்பு இல்லை	வணிக பின்னடைவு, செயலிழப்பு மற்றும் பிழை விகிதம் கண்காணிப்பு
செயல்பாடு மற்றும் பராமரிப்பு கண்காணிப்பு	வெளிப்படையான விதிவிலக்கு இல்லை 5xx, SIGSEGV, செயல்முறை மீண்டும் மீண்டும் வெளியேறுகிறது	மாற்றங்களுக்கு முன்னும் பின்னும் சேவை குறிகாட்டிகள் மற்றும் பதிவுகள்
திரும்பப் பெறுவதற்கான உத்தி	திரும்பப் பெறுதல் அவசியமானால், முதலில் வெளிப்பாட்டைக் கட்டுப்படுத்தி பாதுகாப்பு எல்லைகளைப் பாதுகாக்கவும்	ஆர்டர்கள், அவசரகால ஓட்டங்கள் மற்றும் தனிமைப்படுத்தப்பட்ட திட்டங்களை மாற்றவும்
அடுத்தடுத்த வாழ்க்கை சுழற்சி	பாதுகாப்பு புல்லட்டின் சந்தாக்கள், கொள்கலன் புதுப்பிப்பு அதிர்வெண் மற்றும் கிளை இடம்பெயர்வு திட்டங்களைத் தீர்மானிக்கவும்	லெட்ஜர், பொறுப்பான நபர் மற்றும் அடுத்த தணிக்கை தேதி ஆகியவற்றை மேம்படுத்தவும்

8.1 பதிவுகள் மற்றும் இயங்கும் நிலையில் நீங்கள் எதில் கவனம் செலுத்த வேண்டும்?

நீண்ட காலமாக worker process exited on signal 、 SIGSEGV , கோரிக்கை தோல்வி ஸ்பைக்குகள், அசாதாரண மூல அணுகல் திரட்டல், எதிர்பாராத TLS அமர்வின் இயல்புநிலை மறுதொடக்கம். இந்த குறிகாட்டிகள் விசாரணை துப்புகளாக மட்டுமே பயன்படுத்தப்படும் மற்றும் ஒரு குறிப்பிட்ட CVE சுரண்டப்பட்டது என்பதை நேரடியாக நிரூபிக்க போதுமான ஆதாரங்கள் இல்லை. ;தொடர்புடைய பதிவுகள் இல்லாததால் தாக்குதல் நடக்கவில்லை என்பதை நிரூபிக்க முடியாது.

8.2 பரிந்துரைக்கப்பட்ட இறுதி ஆபத்து முடிவு வார்த்தைகள்

உற்பத்தி சூழலுக்கான ஏற்பு அறிக்கை பின்வரும் துல்லியமான வெளிப்பாட்டைப் பயன்படுத்த வேண்டும்:

NGINX வெளிப்புற சேவை நுழைவு மற்றும் மென்பொருள் தொகுப்பு ஆதாரம் அடையாளம் காணப்பட்டுள்ளது. பொருந்தக்கூடிய அனைத்து நிகழ்வுகளும் அப்ஸ்ட்ரீம் அதிகாரப்பூர்வ பாதுகாப்பு பதிப்பிற்கு மேம்படுத்தப்பட்டுள்ளன, அல்லது வெளியீட்டு விற்பனையாளரால் உறுதிப்படுத்தப்பட்ட பேக்போர்ட் முடிக்கப்பட்டது; பழைய Worker மற்றும் பழைய கொள்கலன்கள் மாற்றப்பட்டுள்ளன. மாற்றுப்பெயர்/திரும்ப எழுதுதல்/வரைபடம், AIO/SSI, HTTP/3 கோரிக்கை அமைப்பு மற்றும் TLS அமர்வு டிக்கெட்/mTLS தொடர்பான உள்ளமைவுகள் தணிக்கை செய்யப்பட்டு, சரிபார்ப்புச் செயல்பாடுகளில் கோரிக்கைகள் தணிக்கை செய்யப்பட்டு நிறைவேற்றப்பட்டன. இன்னும் மேம்படுத்தல் முடிக்கப்படாத நிகழ்வுகளுக்கு, கூடுதலாக வெளிப்பாடு பகுதிகள், இழப்பீட்டு நடவடிக்கைகள், பொறுப்பான நபர்கள் மற்றும் முடிவதற்கான காலக்கெடுவை பதிவு செய்யவும்.

Debian 12 அல்லது பிற வெளியீடுகளுக்கான பேட்ச் இன்னும் முழுமையடையாமல் இருந்தால், முழு ஏற்றுக்கொள்ளும் படிவமும் “முடிந்தது” என மதிப்பிடுவது பொருத்தமானதல்ல; தீர்க்கப்படாத CVE, தொடர்புடைய தூண்டுதல் உள்ளமைவு உள்ளதா, தனிமைப்படுத்தப்பட்ட நிலை மற்றும் இறுதி மேம்படுத்தல் பாதை ஆகியவை தெளிவாகப் பதிவு செய்யப்பட வேண்டும்.

---

இணைப்பு: மேற்கோள் காட்டப்பட்ட ஆதாரங்கள் மற்றும் இணைப்புகள்

விளக்கம்: உரையில் உள்ள [Sx] எண்கள் இந்தப் பகுதிக்கு ஒரே மாதிரியாக ஒத்திருக்கும். அப்ஸ்ட்ரீம் திட்டப் பாதுகாப்பு அறிவிப்புகள், குறியீடு கமிட்கள், சப்ளையர் வெளியீடு அறிவிப்புகள் மற்றும் தேசிய பாதுகாப்பு ஏஜென்சி தகவல்களுக்குப் பின்வருபவை முன்னுரிமை அளிக்கிறது. மேற்கோள் காட்டப்பட்ட பாதிப்புகளின் தீவிரம் ஒவ்வொரு வழங்கும் நிறுவனத்தின் மதிப்பீடு அளவுகோல்களின்படி விவரிக்கப்படுகிறது; தரவு சரிபார்ப்பு தேதி அக்டோபர் 27, 2026.

S1 — NGINX Open Source அதிகாரப்பூர்வ பாதுகாப்பு புல்லட்டின்

• https://nginx.org/en/security_advisories.html

ஐந்து அக்டோபர் CVEகளின் அப்ஸ்ட்ரீம் பாதிக்கப்பட்ட பதிப்புகள், ஃபிக்ஸ் கிளைகள் மற்றும் உத்தியோகபூர்வ தீவிர நிலைகள் மற்றும் 2026 வரையிலான வரலாற்று பாதிப்புகளையும் உள்ளடக்கியது.

S2 — NGINX அதிகாரப்பூர்வ பதிப்பு வெளியீட்டு பதிவு

• https://nginx.org/news.html
• https://nginx.org/en/CHANGES-1.30

2026-10-14 இன் 1.30.6 / 1.31.7, 2026-10-21 இன் 1.31.8 மற்றும் மே முதல் செப்டம்பர் வரையிலான முக்கியமான பாதுகாப்பு வெளியீட்டு மைல்கற்களை உறுதிப்படுத்தவும்.

S3 - சிங்கப்பூரின் சைபர் செக்யூரிட்டி ஏஜென்சி: F5 NGINX மூன்று முக்கியமான பாதிப்புகள்

• https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-150/

CVSS v4.0 9.2 மதிப்பெண்களின் விளக்கம், தேவையான உள்ளமைவு நிபந்தனைகள் மற்றும் CVE-2026-15176, CVE-2026-93479 மற்றும் CVE-2026-97205 க்கான இடைக்காலத் தணிப்பு பரிந்துரைகள்.

S4 - NHS இங்கிலாந்து: F5 NGINX அதிக ஆபத்து ஆலோசனை

• https://digital.nhs.uk/cyber-alerts/2026/cc-4872

நினைவகப் பாதுகாப்புச் சிக்கல்களின் DoS / சாத்தியமான RCE தாக்கம் மற்றும் ASLR போன்ற கட்டுப்பாடுகள் அணைக்கப்படுவது அல்லது புறக்கணிக்கப்படுவது ஆகியவற்றை விவரிக்கிறது.

S5 — அதிகாரப்பூர்வ ஆதாரம்: CVE-2026-15176

• https://github.com/nginx/nginx/commit/f8a23425bd6840c4c36b4264edf576ba3646156f

alias மற்றும் ngx_http_map_uri_to_path() இல் r->uri_changed இன் நிலை சரிபார்ப்புக்கு ஒத்திருக்கிறது.

S6 — அதிகாரப்பூர்வ ஆதாரம்: CVE-2026-93479

• https://github.com/nginx/nginx/commit/6aa4b3fdd4fdc156153f2981eb4070690624447c

HTTP/Stream ஸ்கிரிப்ட் நீளம் மற்றும் ஒதுக்கப்பட்ட இடையக ஒதுக்கீடு லாஜிக் ஆகியவற்றுடன் தொடர்புடையது.

S7 - அதிகாரப்பூர்வ ஆதாரம்: CVE-2026-97205

• https://github.com/nginx/nginx/commit/6adfc05ece48f92446383ec1f145446848694698

r->main->blocked எண்ணிக்கை வரம்பு NGX_HTTP_MAX_BLOCKED 250 மற்றும் ஒத்திசைவற்ற பாதை வீழ்ச்சிக்கு ஒத்திருக்கிறது.

S8 — அதிகாரப்பூர்வ ஆதாரம்: CVE-2026-95101

• https://github.com/nginx/nginx/commit/1c173a2d8767730e678c27446138d7ae5dd6fd64

HTTP/3 தெரியாத ஃபிரேம் மீதமுள்ள நீளம் மற்றும் DATA கோரிக்கை உடல் நீளத்துடன் தொடர்புடைய நிலைப் பிரிப்பு.

S9 — அதிகாரப்பூர்வ ஆதாரம்: CVE-2026-97629

• https://github.com/nginx/nginx/commit/1916f26e6ca49296568633d309777e36527e5bb2

ஒத்திசைவு TLS அமர்வு டிக்கெட் சுழற்சியின் போது அனைத்து முக்கிய இடங்களுக்கும் பொருந்தும்.

S10 — F5: CVE-2026-15176 விற்பனையாளரின் அறிவிப்பு

• https://my.f5.com/manage/s/article/K000162416

alias, rewrite, $request_filename போன்ற தூண்டுதல் காரணிகள் மற்றும் அணுகல் பதிவுகள்.

S11 — F5: CVE-2026-93479 விற்பனையாளர் அறிவிப்பு

• https://my.f5.com/manage/s/article/K000162607

பட்டியல் வரைபடம் regex பிடிப்பு, root பாதை மற்றும் பதிவு மாறி மதிப்பீட்டு நிலைமைகள்.

S12 — NGINX அதிகாரப்பூர்வ TLS/SSL தொகுதி ஆவணங்கள்

• https://nginx.org/en/docs/http/ngx_http_ssl_module.html

விளக்கம் ssl_session_cache, ssl_session_tickets, ssl_session_ticket_key மற்றும் கிளையன்ட் சான்றிதழ் அங்கீகாரம் மற்றும் பிற வழிமுறைகள்.

S13 — பாதுகாப்பு ஆலோசனை: Ubuntu USN-8955-1 (2026-10-26)

• https://ubuntu.com/security/notices/USN-8955-1

Ubuntu 22.04 / 24.04 / 26.04 / 26.10. இன் முழுமையான மென்பொருள் தொகுப்பு நிலையான பதிப்பு மற்றும் விநியோக நோக்கத்தை வழங்கவும்

S14 — பாதுகாப்பு ஆலோசனை: Debian DSA-6575-1 (2026-10-21)

• https://lists.debian.org/debian-security-announce/2026/msg00490.html

Debian 13 / trixieக்கான 1.26.3-3+deb13u10 என்ற பாதுகாப்பு பிழைத்திருத்த தொகுப்பை உறுதிசெய்து, CVE-2026-93479க்கான பேக்போர்ட் சங்கத்தை பதிவு செய்யவும்.

S15 — பாதிப்பு கண்காணிப்பு: Debian Security Tracker: CVE-2026-15176

• https://security-tracker.debian.org/tracker/CVE-2026-15176

Debian 12 / bookworm மற்றும் Debian 13 / trixie ஆகியவற்றின் விநியோக சரிசெய்தல் நிலையைச் சரிபார்க்கப் பயன்படுகிறது. எதிர்கால பாதுகாப்பு புதுப்பிப்புகளுடன் இந்த நிலை மாறலாம்.

S16 — பாதிப்பு கண்காணிப்பு: Debian Security Tracker: CVE-2026-95101

• https://security-tracker.debian.org/tracker/CVE-2026-95101

வெவ்வேறு Debian கிளைகளில் HTTP/3 பாதிப்புக்கான பாதுகாப்பு நிலையின் துணை உறுதிப்படுத்தல்.

S17 — பாதுகாப்பு ஆலோசனை: Red Hat: CVE-2026-93479

• https://access.redhat.com/security/cve/cve-2026-93479

அக்டோபர் பின்னடைவு பாதிப்பு மற்றும் ஜூலை CVE-2026-42533 க்கான ஃபிக்ஸ் ஆகியவற்றுக்கு இடையேயான தொடர்பைப் பற்றிய கூடுதல் புரிதல்.

S18 — NGINX அதிகாரப்பூர்வ ரிவர்ஸ் ப்ராக்ஸி தொகுதி ஆவணம்

• https://nginx.org/en/docs/http/ngx_http_proxy_module.html
• https://nginx.org/en/docs/http/ngx_http_core_module.html

proxy_request_buffering, client_max_body_size, alias, aio போன்ற உள்ளமைவுகளின் சொற்பொருள் மற்றும் இயல்புநிலை மதிப்புகளை வினவவும்.

S19 — NGINX Plus அதிகாரப்பூர்வ வெளியீட்டு குறிப்புகள்

• https://docs.nginx.com/nginx/releases/

பட்டியல் பிளஸ் CR/LTS கிளைகள், பதிப்புகள், இணைப்புகள் மற்றும் இணக்கத்தன்மை நினைவூட்டல்களை மேம்படுத்தவும்.

S20 — NGINX ஜாவாஸ்கிரிப்ட் / njs அதிகாரப்பூர்வ பாதுகாப்பு புல்லட்டின்

• https://nginx.org/en/docs/njs/security.html
• https://nginx.org/en/docs/njs/changes.html

அக்டோபர் 2026 njs 1.0.2 மற்றும் தொடர்புடைய XML சரிபார்ப்பு, நினைவக சோர்வு சிக்கல்கள் உள்ளன.

S21 — Kubernetes: சமூகம் ingress-nginx அதிகாரப்பூர்வ ஓய்வு வழிமுறைகள்

• https://kubernetes.io/blog/2025/11/11/ingress-nginx-retirement/
• https://kubernetes.io/blog/2026/01/29/ingress-nginx-statement/

மார்ச் 2026 இல் திட்டம் புதிய வெளியீடுகள் மற்றும் பாதுகாப்பு திருத்தங்களை நிறுத்தியது என்பதை நினைவில் கொள்ளவும், மேலும் பராமரிக்கப்படும் கட்டுப்படுத்தி அல்லது Gateway API ஐ நகர்த்த பரிந்துரைக்கப்படுகிறது.

S22 — NGINX அதிகாரப்பூர்வ சேவை கட்டுப்பாடு மற்றும் ஆன்லைன் பைனரி மேம்படுத்தல் வழிமுறைகள்

• https://nginx.org/en/docs/control.html

செயல்முறை மாறுதல் ஏற்றுக்கொள்ளலுக்கான உள்ளமைவு மறுஏற்றம், மறுதொடக்கம் மற்றும் ஆன்லைன் இயங்கக்கூடிய கோப்பு மேம்படுத்தல் முறைகளை வேறுபடுத்துங்கள்.

S23 - அரசாங்க பாதுகாப்பு அறிவிப்பு: மே 2026 NGINX பாதிப்பு மீண்டும் எழுதும்

• https://its.ny.gov/2026-051
• https://www.govcert.gov.hk/en/alerts_detail.php?id=1881

CVE-2026-42945 க்கான வரலாற்று ஆபத்து பின்னணி மற்றும் பாதுகாப்பு புதுப்பிப்பு பரிந்துரைகளை வழங்கவும்; காடுகளில் சுரண்டல் தொடர்பான தீர்ப்புகள் அந்த நேரத்தில் ஏஜென்சி அறிவிப்பு மற்றும் மேலும் சம்பவ ஆதாரங்களின் அடிப்படையில் இருக்க வேண்டும்.

S24 — F5: CVE-2026-95101 மற்றும் CVE-2026-97629 விற்பனையாளர் அறிவிப்புகள்

• https://my.f5.com/manage/s/article/K000162613
• https://my.f5.com/manage/s/article/K000162606

HTTP/3 கோரிக்கை உடல் ஊசி மற்றும் தானியங்கி TLS டிக்கெட் விசை சுழற்சி முறையே ஆபத்துக்களை உள்ளடக்கியது.

S25 — F5: CVE-2026-97205 விற்பனையாளரின் அறிவிப்பு

• https://my.f5.com/manage/s/article/K000162608

விளக்கம் SSI/AIO தூண்டுதல் நிலைமைகள் மற்றும் சாத்தியமான நினைவக சிதைவு அபாயங்கள்.

NGINX பாதுகாப்பு புதுப்பிப்பு: உள்ளமைவு சோதனைகள், மேம்படுத்தல்கள் மற்றும் சரிபார்ப்பு