วันที่บทความในอดีต: 2026-10-14 (วันที่เปิดเผยและวันที่เผยแพร่เรื่องความปลอดภัย) ตรวจสอบแหล่งที่มาและข้อมูลเสริมผ่าน 2026-10-27

เหตุการณ์และผลกระทบ

NGINX เปิดตัว Stable 1.30.6 และ Mainline 1.31.7 บน 2026-10-14 โดยแก้ไขช่องโหว่หลักห้าประการ: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 และ CVE-2026-97629 สิ่งเหล่านี้ส่งผลต่อการแมปพาธ การประเมินตัวแปร การดำเนินการไฟล์แบบอะซิงโครนัส เนื้อหาคำขอ HTTP/3 และตั๋วเซสชัน TLS การเปิดรับแสงขึ้นอยู่กับการกำหนดค่า ไม่ใช่ทุกการปรับใช้ NGINX จะเสี่ยงต่อการเรียกใช้โค้ดจากระยะไกล

การดำเนินการที่มีลำดับความสำคัญ

  1. สำหรับแพ็คเกจอัปสตรีม ให้ตรงตามบรรทัดฐานแพตช์ Stable 1.30.6 หรือ Mainline 1.31.7 ที่แยกต่างหาก Mainline 1.31.8 มีจำหน่ายในวันที่ตรวจสอบภายหลัง สำหรับแพ็คเกจการแจกจ่ายและ NGINX Plus ให้ตรวจสอบสาขาของผู้ขายและเวอร์ชันแพ็คเกจแบบเต็ม
  2. ชุดการตรวจสอบที่เกี่ยวข้องกับ alias, rewrite, map, SSI/AIO, HTTP/3 และแคชเซสชัน TLS ที่ใช้ร่วมกัน จัดลำดับความสำคัญจุดสิ้นสุดและบริการสาธารณะโดยใช้การตรวจสอบสิทธิ์ใบรับรองไคลเอ็นต์
  3. ตรวจสอบการกำหนดค่า จากนั้นรีสตาร์ทหรือเปิดตัวการแทนที่สำหรับอินสแตนซ์เก่าทุกรายการ การโหลดการกำหนดค่าทั่วไปซ้ำไม่ได้พิสูจน์ว่าไบนารี่สดได้รับการอัปเดตแล้ว

การตรวจสอบและติดตามผล

ยืนยันว่าปลายทางจริงใช้แพ็คเกจหรืออิมเมจคงที่ และทดสอบการอัปโหลดพร็อกซี ขอขีดจำกัดเนื้อหา การกำหนดเส้นทางและการตรวจสอบสิทธิ์ใบรับรองไคลเอ็นต์ WAF, ASLR และการเปลี่ยนแปลงการกำหนดค่าชั่วคราวไม่สามารถแทนที่แพตช์ได้ สถานะการแก้ไขของการแจกจ่ายหนึ่งไม่สามารถนำไปใช้กับสถานะอื่นได้

บทความนี้ถูกเก็บถาวรภายใต้วันที่จัดงานวันที่ 14 ตุลาคม และมีข้อมูลในภายหลัง อ่านคู่มือการแก้ไขและช่องโหว่ NGINX ฉบับเต็ม สำหรับการกำหนดค่าที่ได้รับผลกระทบ การแก้ไขเฉพาะสาขา กลไกการแก้ไข การบรรเทาผลกระทบชั่วคราว และแหล่งที่มาอย่างเป็นทางการ