NGINX zaifliklar: sabablar, tuzatishlar va ishlab chiqarishni tekshirish

Tarixiy maqola sanasi: 2026-10-14 (oshkor qilish va xavfsizlikni chiqarish sanasi). Manbalar tekshirildi va ma’lumotlar 2026-10-27 orqali to’ldirildi.

Ushbu maqola voqea sanasi bo’yicha arxivlangan; 14-oktabrdan keyin chiqarilgan versiya va yangilanishlar quyida keltirilgan. Tomoshabinlar: NGINX Open Source / NGINX Plus veb-sayti va teskari proksi-serverdan foydalanish va texnik xizmat ko’rsatish xodimlari, xavfsizlikka javob berish xodimlari, tarqatish bo’yicha mutaxassislar, shuningdek NGINX-ni o’z-o’zidan kompilyatsiya qiladigan va uchinchi tomon modullarini saqlaydigan muhandislar.

Ushbu maqola 2026-yil 14-oktabrda oshkor qilingan va intensiv ravishda tuzatilgan beshta NGINX asosiy zaifligiga e’tibor qaratiladi, shuningdek, 2026-yilning may-sentyabr oylarigacha bo‘lgan xotira xavfsizligi va so‘rovning yaxlitligi bo‘yicha zaifliklarni ko‘rib chiqadi. Tarkib ishga tushirish holatlari, kod darajasidagi sabablar, qisqa muddatli ta’sir choralari, tuzatish ishlari ko‘lamini o‘z ichiga oladi. amalga oshirish, eski filiallarga qaytish va ishlab chiqarishni tekshirish. S1 kabi havolalar manba ilovasiga havola. Misol konfiguratsiyalar faqat joylashtirish va audit g’oyalarini ko’rsatish uchun ishlatiladi va amalga oshirishdan oldin haqiqiy versiya, konfiguratsiya merosi, bog’liqliklar va biznes imkoniyatlari asosida tekshirilishi kerak.

TL; DR: ustuvor harakatlar

1. Xavfsizlikni oshirishga ustuvor ahamiyat bering. uchun nginx.org Ochiq manba paketlari, yangilang Stable 1.30 hech bo’lmaganda filialga 1.30.6 va Mainline 1.31 hech bo’lmaganda filialga 1.31.7. Tasdiqlash sanasida, 1.31.8 eng oxirgi hisoblanadi Mainline ozod qilish. Bu alohida filialning asosiy ko’rsatkichlari; filiallari bo’yicha ularning sonini solishtirmang. S1 S2
2. To’liq paket versiyasi bo’yicha tarqatish o’rnatilishini tekshiring. Ubuntu 22.04 / 24.04 / 26.04 / 26.10 sotuvchining orqa portlariga ega; Debian 13 (trixie) kamida 1.26.3-3+deb13u10 talab qiladi. Tekshiruvda Debian 12 (bookworm) paketi 1.22.1-9+deb12u10 hali ham ta’sirlangan deb belgilangan. Har bir CVE-ni tekshiring; Debian 13 maslahati Debian 12 sobit ekanligini aniqlamaydi. S13S14S15
3. Beshta konfiguratsiya kombinatsiyasini tekshiring: alias + rewrite + $request_filename , map + regex + o’zgaruvchini baholash, aio + ssi + include virtual , HTTP/3 bilan proxy_request_buffering on , va ssl_session_cache shared:... avtomatik bilan TLS Seans chiptasi kalitini aylantirish. Direktivning mavjudligi faqat ekspluatatsiyani o’rnatmaydi; so’rov yo’lini va konfiguratsiya doirasini baholang. S1 S3 S4
4. Barcha eski jarayonlar va konteynerlarni almashtiring. nginx -t-ni ishga tushiring, so’ngra xizmatni qayta ishga tushiring yoki yuqori mavjud bo’lgan prokat joylashtirishni amalga oshiring. Eski master/worker jarayonlari chiqqanligini tasdiqlang; Faqat nginx -s reload ishlayotgan ikkilik o’zgarganligini isbotlamaydi.
5. Haqiqiy so‘nggi nuqtalarni tekshiring: HTTP/1.1, HTTP/2, yoqilgan bo‘lsa HTTP/3, proksilangan yuklamalar va API so‘rovlar organlari, mTLS sertifikati autentifikatsiyasi, SSI sahifalari va kirish jurnallari. Har bir so’nggi nuqta uchun paketning kelib chiqishi, versiyasi, tasvir dayjesti, ishlaydigan jarayonlar va natijalarni yozib oling.
6. Agar darhol yangilanish imkonsiz bo’lsa, tegishli tetiklash shartlarini olib tashlang: keraksizni o’chirib qo’ying SSI / AIO yoki HTTP/3 , ko’rib chiqish zaif alias / rewrite / map o’zgaruvchan havolalar va vaqtinchalik baholash ssl_session_tickets off; ta’sirlanganlar uchun mTLS xizmatlar. WAF , ASLR , tarif cheklovlari va konfiguratsiya o’zgarishlari faqat ba’zi shartlarni qamrab oladi va rasmiy yamoqlarni almashtira olmaydi. S3 S4 S8 S12

1. Zaifliklarni ko’rib chiqish va xavfni baholash

NGINX beshta xavfsizlik muammosini tuzatib, 2026-yil 14-oktabrda 1.30.6 (Stable) va 1.31.7 (Mainline) ni chiqardi. Uchtasi to‘pdan to‘lib ketish yoki bepul foydalanishni o‘z ichiga oladi va F5 CVSS v4.0 9.2 / Kritik ball oldi. Qolgan ikkitasi HTTP/3 so’rovining yaxlitligiga va TLS mijoz sertifikati autentifikatsiyasiga ta’sir qiladi. S1S2S3

Baholash tizimlarini ajrating: nginx.org barcha beshta muammoni medium deb sanaydi, F5 CVSS v4.0 va baʼzi milliy xavfsizlik agentliklari uchta xotira muammosini Kritik deb tasniflaydi. Bu beshta kodni shartsiz masofadan turib bajarishga ruxsat berishini anglatmaydi. Konfiguratsiya, trafikka kirish imkoniyati va tajovuzkor nazorati ostidagi sharoitlar muhim ahamiyatga ega. Xotira buzilishi va ishonchli RCE turli darajadagi dalillardir. S1S3S4

CVE	Texnik muammolar va odatiy ishga tushirish shartlari	asosiy ta’sir	Baholash va yo’q qilish
CVE-2026-15176	alias yo’l xaritasi + rewrite o’zgarishi URI + baholash $request_filename	Uyum buferining to’lib ketishi, Worker ishdan chiqishi; muayyan sharoitlarda potentsial RCE	F5 CVSS v4.0 9.2; muammolarni bartaraf etishga ustuvor ahamiyat bering
CVE-2026-93479	HTTP/Stream skriptini baholash, ayniqsa map regexni yozib olish va root katalogi, log o’zgaruvchilari o’zaro havolasi	Zaxiralangan bufer ustiga yoziladi va to’p to’lib ketadi; muayyan sharoitlarda potentsial RCE	F5 CVSS v4.0 9.2; oldingi ta’mirlardan keyin regressiya xavfi
CVE-2026-97205	SSI virtual o’z ichiga oladi va AIO/asinxron operatsiya; ajoyib operatsiyalar soni to’lib toshgan	Foydalanish-Free, Worker ishdan chiqishi, xotira buzilishi; potentsial RCE	F5 CVSS v4.0 9.2; standart bo’lmagan konfiguratsiyani talab qiladi
CVE-2026-95101	HTTP/3 Noma’lum ramka buferlar bo’ylab bo’lingan, proksi-server so’rovining asosiy buferi yoqilgan	DATA bo’lmagan baytlarni yuqori oqim so’rovi tanasiga noto’g’ri kiritish, ehtimol so’rovning asosiy hajmi chegarasini chetlab o’tish	Ushbu zaiflik so’rovning yaxlitligiga ta’sir qiladi. Uning o’zi masofaviy kod bajarilishini (RCE) ta’minlamaydi.
CVE-2026-97629	Umumiy TLS sessiya keshi, avtomatik kalitlarni aylantirish va Worker tugmachalarini aks ettirish	Sessiya chiptasini qalbakilashtirish; ta’sirlangan mTLS xizmati uchun mijoz sertifikati autentifikatsiyasini chetlab o’tish mumkin	API tipidagi sertifikat autentifikatsiyasining biznesga ta’siriga alohida e’tibor qaratish lozim.

Yuqoridagi CVSS ball F5 tomonidan v4.0 yordamida berilgan; bir xil zaiflik CVSS 3.1, nginx.org o’z darajalari va tarqatish jiddiylik reytinglarida turli jiddiylikni ko’rsatishi mumkin. S1S3S4

1.1 Faqat CVE ballari emas, balki tarqatish ta’siriga ustuvor ahamiyat bering

Joylashtirish shakli	Asosiy tergov nuqtalari	Utilizatsiya qilish bo’yicha ustuvor tavsiyalar
Umumiy tarmoq teskari proksi-server, jumladan, moslashtirilgan rewrite, alias va murakkab map	Maydan iyulgacha CVE-2026-15176, CVE-2026-93479 va qayta yozish/xaritadagi zaifliklar	P0: Darhol tekshirish va yangilash
API / Yagona yoki asosiy kirish autentifikatsiyasi sifatida mijoz sertifikatidan foydalanadigan boshqaruv tekisligi	Seans chiptasi va CVE-2026-97629 umumiy kesh konfiguratsiyasi	P0: Darhol autentifikatsiya chegarasini tasdiqlang va yangilang
Tashqi HTTP/3 yuklash, holatni o’zgartirish interfeysi, API tranzaksiya sinfini taqdim eting	CVE-2026-95101, ayniqsa so’rov tanasi backendga proksilangan	P0/P1: Biznes ahamiyatiga qarab tartibga soling
SSI Dinamik sahifa yoki asinxron fayl kiritish/chiqarish	CVE-2026-97205	P1: Kombinatsiya shartlarini tasdiqlang va imkon qadar tezroq ta’mirlang
Faqat statik sahifalar + oddiy HTTP/1.1/2 teskari proksi-server	Konfiguratsiya va versiya hali ham tekshirilishi kerak, lekin ba’zi CVE shartlari etishmayotgan bo’lishi mumkin	P1: Favqulodda xavfsizlikni yangilash oynasiga kiritilgan
Nafaqaga chiqqan Kubernetes hamjamiyatidan foydalaning ingress-nginx	Loyiha xavfsizlikni ta’minlashni to’xtatadi va xavflar ushbu beshta CVE bilan cheklanmaydi	Individual nazoratchi migratsiya rejasini tuzing

P0/P1 - umumiy tarmoq ta’siri va sertifikatlash sezgirligi uchun ushbu maqolada berilgan foydalanish va texnik xizmat ko’rsatishni yo’q qilish bo’yicha tavsiyalar. Bu rasmiy CVSS tasnifi emas, shuningdek, korxonaning ichki aktivini o’rnini bosa olmaydi va xavfni baholashni o’zgartirmasligi kerak.

1.2 Ta’sir chegarasi va hujum uchun ruxsatlar

Ushbu to’plamdagi asosiy zaifliklar asosan NGINX Data Plane da joylashgan: hujumga kirish nuqtasi mijoz ulanishi va so’rovidir va haqiqiy ta’sir odatda Worker jarayonida sodir bo’ladi. Agar xotira buzilishi uchun ekspluatatsiya qilinadigan shartlar bajarilsa, kodni bajarish ruxsati odatda ishlaydigan foydalanuvchi, konteyner cheklovlari, Linux imkoniyatlari, Worker o’rnatish va tarmoq ruxsatnomalari bilan cheklanadi; potentsial RCE avtomatik ravishda root imtiyozlari yoki xostning murosaga kelishini anglatmaydi. S4

Jarayon imtiyozli bo’lmasa ham, u proksi-server hisob ma’lumotlariga, sertifikat shaxsiy kalitlarini o’z ichiga olgan o’qiladigan fayllarga, yuqori oqim tokenlariga, vaqtinchalik fayllarga, ichki API va kirish mumkin bo’lgan tarmoqlarga kirishi mumkin. mTLS uchun autentifikatsiyani chetlab o’tishning o’zi jiddiy biznes oqibati bo’lishi mumkin va kod bajarilishi shart emas.

2. Sabablarni tahlil qilish

2.1 NGINX da xatoga moyil uchta chegarani tushuning

NGINX worker - bu so’rov holatini, asinxron operatsiyalarni va protokol tahlilchilarini saqlaydigan uzoq muddatli, voqealarga asoslangan jarayon. Ushbu zaiflik uchta muhandislik darajasidagi cheklovlarni o’z ichiga oladi:

1. o’zgaruvchilarni baholash va xotira hajmi izchil bo’lishi kerak: rewrite URI so’rovini o’zgartirgandan so’ng, yo’l xaritasi joriy location bilan mos kelishi kerak; skript tarjimoni o’zgaruvchan uzunlikni hisoblaganda, yozish maydoni haqiqiy chiqish va ajratilgan maydonlarni qamrab olishi kerak.
2. Asinxron operatsiyalar so’ralgan xotiraning ishlash muddatini uzaytirishi kerak: Tugallanmagan faylni o’qish va yozish, keshda kutish yoki mavzu vazifalari mavjud bo’lganda, tegishli so’rov xotirasi pulini oldindan chiqarib bo’lmaydi.
3. protokol holati va xavfsizlik holatini aralashtirib bo‘lmaydi yoki o‘tkazib yuborib bo‘lmaydi: HTTP/3 noma’lum kadr o‘tkazib yuborish uzunligi DATA so‘rovining asosiy uzunligi sifatida qaralishi mumkin emas; TLS Imzoni tekshirishda ishtirok etuvchi barcha kalit slotlari seans chiptasini aylantirish vaqtida toʻgʻri ishga tushirilishi va sinxronlashtirilishi kerak.

Quyidagi kontent NGINX yuqori oqim tuzatish majburiyatiga va ishga tushirilishi mumkin bo’lgan nosozlik mexanizmini tushuntirish uchun sotuvchining e’loniga asoslangan; Misol fragmenti tahlil uchun mo’ljallangan, ishlab chiqarish muhitini tuzatish uchun bevosita ishlatilishi mumkin bo’lgan to’liq kod emas. S5S6S7S8S9

2.2 CVE-2026-15176: alias va qayta yozilgan URI o‘rtasidagi yo‘l xaritasi yaroqsiz.

NGINX da mos keladigan location va uning alias fayl yo’lini aniqlaydi; rewrite joriy so‘rovni URI o‘zgartirishi mumkin. Qayta yozgandan so’ng, asl location xaritalashda qo’llaniladigan taxminlar endi o’zgarmasligi mumkin.

alias holati ngx_http_map_uri_to_path()da tekshirilganda, ta’sir qilingan ishlov berish yo’li so’rov qayta yozilgan yoki yo’qligini etarli darajada tekshirmadi. Qayta yozishdan keyin konfiguratsiya $request_filename ni baholashda davom etsa, yo‘l joriy URI holatiga mos kelmaydigan taxminlar bilan tuzilishi mumkin va natijada yig‘ma xotiraga chegaradan tashqari yozishni boshlaydi. S5

Odatiy kombinatsiya (faqat konfiguratsiya auditiga qarshi misol sifatida ishlatiladi, joylashtirish tavsiya etilmaydi):

# 仅用于识别风险模式：不是修复配置
location /foo/ {
    alias /srv/alias-root/;
    rewrite ^/foo/.*$ /new-path;
    return 200 $request_filename;
}

Xavf return bilan cheklanmaydi: set, if, add_header, log_format va boshqalar, agar $request_filename baholash xuddi shu so’rovda amalga oshirilsa, tekshirilishi kerak. Misoldagi return faqat ushbu holat yo’lini ko’rishni osonlashtiradi, uni barcha ishlab chiqarish konfiguratsiyalari to’lib ketishiga olib kelishini taxmin qilish uchun ishlatib bo’lmaydi. S5S10

Hujum oqibatlari: so’rovni tuzish Worker qayta ishga tushishiga yoki xizmat ko’rsatishning uzilishiga olib kelishi mumkin; ASLR yopiq yoki chetlab o’tish mumkin bo’lgan sharoitlarda potentsial RCE mavjud. Yuqori oqim patchining asosi ma’lum bir buferni kengaytirishdan ko’ra, endi amalda bo’lmagan alias kontekstida qayta yozilgan URI yo’l xaritasini bajarishdan bosh tortishdir. S5S10

2.3 CVE-2026-93479: Skriptni baholashda “zaxiralangan bo’sh joy” va haqiqiy o’zgaruvchan uzunlik o’rtasidagi nomuvofiqlik

NGINX ning HTTP va Stream modullarida literal satrlar va oʻzgaruvchan qiymatlarni natija qatoriga birlashtiruvchi skript baholovchilari mavjud. Ilova misollari orasida HTTP hujjati root yoʻllari, kirish jurnali yoʻllari va Streamʼdagi oʻzgaruvchan ifodalar mavjud.

map + muntazam ifodalarning ma’lum konfiguratsiyasi map natija o’zgaruvchisi baholanishidan oldin olingan qiymatlarni boshqa ifodalar tomonidan o’qishga imkon beradi. Zaxiralangan uzunlikdagi skriptni bajarish usuli bilan birlashganda, eski dastur len zahiradagi bo’sh joyni baholangan uzunlik akkumulyatoriga oldindan hisoblab chiqadi, shuning uchun keyingi yozish ko’rsatkichi hisoblari bufer chegarasiga mos kelmaydi. Muayyan o’zgaruvchilarni baholash ketma-ketligida keyingi qator yozishlar ajratilgan maydonning ustiga yozishi mumkin, bu esa to’p to’lib ketishiga olib keladi. S6

ishtirok etuvchi elementlar	Nima uchun bunga e’tibor berishga arziydi
map da regex	O’zgaruvchilarni baholash mustaqil hayot aylanishi va keshlash xatti-harakatlariga ega bo’lishi mumkin
$1, $2 va boshqalar kabi anonim suratga olishlar.	Boshqa oddiy iboralar yoki iboralar orqali osongina qayta yoziladi, bu esa egalikni kuzatishni qiyinlashtiradi
root da o’zgaruvchilar	Yo’lni yaratishni ishga tushirishda skriptni bajarish va buferni band qilish
log_format/Dinamik jurnal yo’li	Xuddi shu turdagi baholash so’rovda keyinroq ishga tushirilishi mumkin
stream da skript ifodalari	Yuqori oqim tuzatish ngx_stream_script_run()-ni ham o’zgartiradi. Siz faqat HTTP modulini ko’rib chiqa olmaysiz.

Muhim regressiya munosabatlari: Ushbu zaiflikka tegishli kod CVE-2026-42533 tuzatgan oldingi o’zgarishlar bilan bog’liq. Debian 13 uchun rasmiy DSA ta’sirlangan kod trixie to’plamiga oldingi xavfsizlik porti orqali kiritilganligini aniq ta’kidlaydi. Shuning uchun, “Iyul map zaiflik yamog’i o’rnatildi” degani oktyabr oyidagi CVE-2026-93479 qoplangan degani emas; to’liq xavfsizlikni tuzatish zanjiri tekshirilishi kerak. S6S14S17

Bu erda potentsial RCE xavfi xotirani himoya qilish muhiti bilan bog’liq va faqat map regexdan anonim tajovuzkorlar foydalanishi mumkin deb da’vo qilmaslik kerak. S11

2.4 CVE-2026-97205: AIO Tugallanmagan operatsiyalar soni o’rash sabablari - Bepul foydalanish

Bu zaiflik shunchaki “SSI-ni yoqing va siz UAF-ni olasiz” emas. Kalit asosiy so’rov tomonidan ushlab turiladigan asinxron operatsiya mos yozuvlar sonida yotadi.

NGINX Hali tugallanmagan asinxron ishlovni kuzatish uchun r->main->blocked dan foydalaning, eski dasturda bu 8 bitli hisob edi; ba’zi yo’llar sonni oshirishdan oldin yuqori chegara tekshiruvini o’tkazmadi. Xuddi shu asosiy so’rov 256 ta bajarilmagan amalni to’plaganida, hisoblash 255 dan 0 gacha bo’lishi mumkin. Keyingi jarayonlar so’rovning chiqarilishiga to’sqinlik qiluvchi asinxron operatsiya yo’qligiga noto’g’ri ishonadi va shu bilan hali ham vazifa tomonidan havola qilingan so’rov xotirasi pulini bo’shatadi. S7

Muvaffaqiyatsizlik jarayonini quyidagilarga bo’lish mumkin:

1. Bog’langan asinxron kiritish/chiqarish/ip yo’li yoqilgan bo’lsa, SSI sahifasi include virtual orqali bir nechta quyi so’rovlar yoki o’qish operatsiyalarini taqdim etadi.
2. Muayyan asosiy so’rovning bajarilmagan operatsiyalari hisoblash maydoni bilan ifodalangan yuqori chegaragacha to’planadi.
3. 8-bitli hisob-kitoblar, noto’g’ri ifodalangan, “kutilayotgan operatsiyalar yo’q”.
4. So’rov xotirasi havzasi chiqariladi, faylni o’qish, keshni kutish yoki mavzu vazifalarini qayta qo’ng’iroq qilish hali ham unga havolalarni saqlab qoladi.
5. Keyingi asinxron yakunlovchi qayta qo’ng’iroqlar bo’shatilgan xotiraga kirishadi, natijada UAF, Worker ishdan chiqadi yoki potentsial xotira buzilishiga olib keladi.

Rasmiy tuzatish so’rov sarlavhasi fayliga NGX_HTTP_MAX_BLOCKED 250 qo’shadi va chiqish filtri, kesh o’qish va yuqori oqim yo’liga cheklovlar qo’shadi; chegaraga yetganda, sinxronlashtirilgan yo’llar bilan operatsiyalar sinxron tarzda yakunlanadi va agar ularni xavfsiz qayta ishlash imkoni bo’lmasa, kutilayotgan vazifalarni qo’shimcha qo’shish rad etiladi. S7

Qo’llanilishi mumkin bo’lgan qaror: SSI, AIO, virtual qo’shilish, quyi so’rovlar va tegishli asinxron operatsiyalar bir xil so’rovlar zanjirida birgalikda sodir bo’lishi mumkinligini baholash kerak. Bular odatda standart oddiy statik proksi-server konfiguratsiyalari emas. aio off; yoki ssi off; ma’lum trigger elementlarini olib tashlashi mumkin, lekin birinchi navbatda biznes funktsiyalariga bog’liqlik tasdiqlanishi kerak. S4S7S25

2.5 CVE-2026-95101: HTTP/3 nomaʼlum ramka DATA soʻrov qismining holati bilan aralashib ketgan

HTTP/3 freym tahlilchisi DATA freymlarini (HTTP soʻrovi tanasini qayta ishlashga oʻtkazilishi kerak) va oʻtkazib yuborilishi kerak boʻlgan nomaʼlum kadrlarni farqlashi kerak. Tarmoq buferlari bo’ylab qismlarga ajratishda noma’lum kadrlarning uzunligi ham aniq saqlanishi kerak.

ngx_http_v3_parse_data() ning eski ilovasi noma’lum kadrlarni o’tkazib yuborishda “o’tkazib yuborilishi kerak bo’lgan baytlarning qolgan sonini” saqlash uchun st->length maydonidan foydalangan, so’rovning asosiy filtri esa bir xil maydonni “qolgan DATA foydali yuk uzunligi” bilan izohlagan. Agar noma’lum ramka bir nechta tahlil qo’ng’iroqlarini qamrab oladigan bo’lsa, tahlil to’xtatilgandan so’ng keyingi baytlar to’plami so’rov tanasining bir qismi sifatida xato bo’lishi mumkin. S8

Ikki xil xavf paydo bo’ladi:

• so’rov tanasini in’ektsiya qilish: mijoz tomonidan taqdim etilgan DATA bo’lmagan ramka foydali yuki backend tomonidan qabul qilingan ma’lumotlarni o’zgartirib, yuqori oqim ilovasiga uzatilishi mumkin.
• o’lcham chegarasini chetlab o’tish: client_max_body_size va boshqa cheklovlar. Kutilayotgan tekshiruvlar DATA yo‘liga to‘plangan va noto‘g‘ri aylantirilgan kontent tegishli tekshiruvni chetlab o‘tishi mumkin.

Rasmiy tomonidan tasvirlangan odatiy ishga tushirish stsenariysi ngx_http_v3_module HTTP/3 so’rovini qabul qilib, proxy_request_buffering onni yo’naltiradi. ngx_http_proxy_module da proksi-server so’rovining asosiy buferlashi sukut bo’yicha yoqilgan. Shuning uchun HTTP/3 ni yoqadigan teskari proksi-server birinchi navbatda tekshirilishi kerak. proxy_request_buffering on; aniq yozilmagani uchun tetik sharti yo’q deb taxmin qilish o’rinli emas. S8S18

Ushbu zaiflikning bevosita natijasi so’rovning yaxlitligi va xavfsizlik chegarasining o’zgarishi bilan bog’liq bo’lib, bu so’rovning ekvivalent ifodasi emas. RCE to’g’ridan-to’g’ri to’ldirilgan NGINX yadro. Yakuniy biznes ta’siri bu baytlar qanday tahlil qilinganiga va yuqori oqimda ishonchliligiga bog’liq. S24

2.6 CVE-2026-97629: TLS Chipta aylanishi uchinchi kalit uyasidan mahrum

Ta’sir qilingan konfiguratsiyalarda NGINX umumiy xotira keshi orqali TLS seans chiptasi kalitlarini avtomatik ravishda yaratishi va aylantirishi mumkin, bu esa bir nechta Worker ga bir xil chiptalar partiyasini qayta ishlash imkonini beradi.

Tegishli sinxronizatsiya mantig’i har bir Worker uchun 3 ta kalit uyasi ajratadi va shifrni hal qilish uchun qayta qo’ng’iroq ham bu slotlarni bosib o’tadi; lekin eski dastur har safar umumiy xotiradan faqat 2 ta kalit uyasidan nusxa ko’chiradi, natijada kalit nomi, HMAC kaliti va uchinchi uyaning AES bo’ladi. Kalit ishga tushirilmagan bo’lib qolishi mumkin. Agar chiptaning kalit identifikatori ushbu holatga mos kelsa, ishga tushirilmagan kalit materiali imzoni tekshirish va shifrni ochish uchun ishlatilishi mumkin, bu esa TLS seansini soxtalashtirish uchun yo’l hosil qiladi. S9

Yuqori xavfli joylashtirish kombinatsiyalari odatda:

# 仅为排查触发条件所示：共享缓存本身不是恶意配置
ssl_session_cache shared:SSL:10m;
# 未显式配置 ssl_session_ticket_key 文件，使用自动轮换机制

Ushbu zaiflikning eng jiddiy biznes oqibati shundaki, ssl_verify_client on; da mijoz sertifikati autentifikatsiyasidan (mTLS) va boshqa usullardan foydalanadigan xizmatlarda soxta tiklash seanslari mijoz sertifikatini tekshirishni chetlab o’tishi mumkin. Hujumning muvaffaqiyati ham nazorat qilib bo’lmaydigan sharoitlarga bog’liq; faqat oddiy server tomonidagi HTTPS sertifikatidan foydalanadigan va mijoz sertifikati autentifikatsiyasi yo’q sayt noto’g’ri talqin qilinmasligi kerak, chunki “tajovuzkor butun veb-saytga kirishni chetlab o’tishi mumkin”. S9S12

Bu TLS seansi autentifikatsiya holati muammosi va serverning TLS shaxsiy kaliti buzilganmi yoki umumiy CA root sertifikatiga taʼsir qilganiga hech qanday aloqasi yoʻq. S24

2.7 DoS, RCE, autentifikatsiyani chetlab o’tish va ma’lum ekspluatatsiyalarni qanday tushunish mumkin

• DoS: Xotira xatosi Worker ishlamay qolishiga yoki ommaviy ravishda qayta ishga tushishiga olib keladi. Bu umuman mavjud bo’lmasligiga sabab bo’ladimi, bu transport bosimi, jarayonni qayta ishga tushirish qobiliyati, ulanishni saqlash vaqti va yuqori mavjudlik arxitekturasi bilan bog’liq.
• potentsial RCE: Ba’zi e’lonlar ASLR yopilganda yoki chetlab o’tilganda kodni bajarish imkoniyati mavjudligini ko’rsatadi. Bu buyruqlarni barqaror va universal tarzda bajara oladigan ommaviy hujum zanjiri oshkor qilingan degani emas. S4
• So’rovni kiritish/autentifikatsiyani chetlab o’tish: U to’g’ridan-to’g’ri himoyalangan biznes holatini yoki so’rov mazmunini o’zgartirishi mumkin va faqat qobiqni to’g’ridan-to’g’ri ololmagani uchun uni e’tiborsiz qoldirib bo’lmaydi.
• hujumga urinishlarni aniqladi: 2026 yil may oyida CVE-2026-42945 yovvoyi tabiatda ekspluatatsiya qilish faoliyati haqida xabarlarga ega; Bu tarixiy faktdan oktyabr oyidagi barcha beshta CVE keng miqyosda muvaffaqiyatli ekspluatatsiya qilinganligini anglatmasligi kerak. S23

3. Ta’mirlash versiyasi va yamoq tanlash

3.1 NGINX Open Source rasmiy yamoq asosiy chizigʻi

yuqori oqim filiali	Oktyabr oyida beshta zaiflikni qamrab olgan birinchi rasmiy versiya	2026-10-27 bo’yicha tavsiyalar
Stable 1.30.x	1.30.6（2026-10-14）	Kamida 1.30.6 o’rnating va keyingi xavfsizlik versiyalarini kuzatib boring.
Mainline 1.31.x	1.31.7（2026-10-14）	1.31.8（2026-10-21）
Avvalgi NGINX Open Source filiali	Buni faqat “eski zaiflik yamoqlari qo’llangan” asosida baholab bo’lmaydi.	Avval saqlangan filialga o’ting; aks holda, sotuvchi CVE-by-CVE asosida qo’llab-quvvatlashning rasmiy dalillarini taqdim etishi kerak.

Bu nginx.org yuqori manba kodi/rasmiy filialining versiya xulosalari va tarqatuvchi sotuvchi tomonidan taqdim etilgan qo’shimcha tuzatishlar bilan xavfsizlik paketini bevosita rad etish uchun foydalanilmasligi kerak. 1.31.6 qiymati 1.30.6 dan katta bo’lsa ham, u asosiy tarmoqning yamoq asosiy chizig’idan pastroq. S1S2

3.2 Beshta CVE ning yuqori oqim ta’sir doirasi

Quyidagi diapazonlar nginx.org xavfsizlik byulletenining asl matniga muvofiq keltirilgan va ularni “joriy ishlayotgan filial” va “haqiqiy konfiguratsiya yo’li” bilan birgalikda tushunish kerak:

CVE	Yuqori oqim teglari ta’sirlangan versiyalar	Rasmiy belgilangan sobit versiya
CVE-2026-15176	0.1.29–1.31.6	1.30.6+ yoki 1.31.7+, ularning tegishli filiallarida
CVE-2026-93479	1.30.0–1.30.5，1.31.2–1.31.6	Yuqoridagi kabi
CVE-2026-97205	0.8.11–1.31.6	Yuqoridagi kabi
CVE-2026-95101	1.25.0–1.31.6	Yuqoridagi kabi
CVE-2026-97629	1.23.2–1.31.6	Yuqoridagi kabi

CVE-2026-93479 maxsus kirish-versiya chegaralariga ega; har bir eski NGINX versiyasi bu regressiyaga ta’sir qilmaydi. Ushbu diapazondan tashqaridagi eski versiyalarga avvalgi map regex zaifligi CVE-2026-42533 ta’sir qilishi mumkin. S1

3.3 Ubuntu: tarqatish portlari (USN-8955-1)

Kanonik USN-8955-1 2026-yil 26-oktabr to‘rtta Ubuntu qurilishi uchun xavfsizlik yangilanishini taqdim etadi: S13

Ubuntu versiyasi	nginx va bir xil manba paketining sobit versiyasi	Tavsif
22.04 LTS	1.18.0-6ubuntu14.22	Bu sotuvchining orqa portidir; yuqoridagi versiya raqami hali ham 1.18.0 ni ko’rsatadi
24.04 LTS	1.24.0-2ubuntu7.19	Yuqoridagi kabi
26.04 LTS	1.28.3-2ubuntu1.12	Yuqoridagi kabi
26.10	1.30.4-7ubuntu1.1	Yuqoridagi kabi

E’londa nginx-core, nginx-extras, nginx-full va nginx-light kabi gomologik paketlarning tegishli sobit versiyalari mavjud. Uni faqat nginx -v tomonidan ko’rsatilgan yuqori qismdan tuzatish kerakligi haqida xulosa chiqarmang. Ubuntu 24.04 va 1.24.0-2ubuntu7.19 kabilar ushbu sotuvchi tomonidan yamalgan, ammo har qanday manbadan 1.24.0 tabiiy ravishda xavfsiz emas.

Ubuntu rasman ham buni aniq belgilab berdi CVE-2026-95101 faqat ta’sir qiladi Ubuntu 26.04 / 26.10 , va CVE-2026-97629 faqat ta’sir qiladi Ubuntu 24.04 / 26.04 / 26.10. Mana Ubuntu to’g’ridan-to’g’ri boshqa tarqatishlarga o’tkazib bo’lmaydigan o’z qadoqlash va funktsional doirasi. S13

3.4 Debian: Versiyalar orasidagi farqlar alohida tekshirilishi kerak

Debian maslahat DSA-6575-1 (2026-10-21) ushbu beshta CVEni qamrab oladi va Debian 13 / trixie uchun belgilangan nginx paketini quyidagicha belgilaydi:

1.26.3-3+deb13u10

Biroq, ushbu hisobotni tekshirish vaqtida Debian 12 / bookworm uchun 1.22.1-9+deb12u10 hali ham Debian Security Tracker tomonidan zaif deb belgilangan. Shuning uchun:

• Debian 13 DSA-6575-1 ga muvofiq yangilang va qabul qiling.
• Debian 12 joriy Security Tracker yoki ELTS sotuvchisi tomonidan taqdim etilgan xavfsizlik tuzatishlarini birma-bir tekshirishi kerak; tuzatish e’londa tasdiqlanmaguncha, apt upgrade muvaffaqiyati asosida beshta elementning hammasi tuzatilgan deb e’lon qilmang.
• Debian manba paketi nginx.org versiya raqamidan mustaqil bo’lgan yamoq to’plamiga ega bo’lishi mumkin. Maxsus tuzilmalar uchun siz to’liq manba kodi to’plamini tuzatish to’plamini tekshirishingiz kerak va siz faqat bitta yuqori oqim majburiyatini nusxalab, uni tugallangan deb hisoblay olmaysiz.

Yuqoridagi farq DSA va CVE kuzatuv yozuvlariga asoslangan. S14S15S16

3.5 NGINX Plus, njs va kirish tekshiruvi

Mahsulotlar/komponentlar	Xavfsizlikni tanlash va tekshirishning asosiy nuqtalari
NGINX Plus (tijorat versiyasi)	Iltimos, F5 ga mos keladigan Plus filialining e’lon va yangilash ko’rsatmalariga qarang. Tekshiruv vaqtidagi oxirgi CR PLS.37.2.0.1 va LTS xavfsizlik tizimi PLS.37.0.7.1; Plus versiyasi va unga kiritilgan orqa portni Ochiq manbaning 1.30/1.31 chegarasi bilan bevosita almashtirib bo’lmaydi. S19
njs / ngx_http_js_module	2026-10-14 njs 1.0.2-ni chiqaradi va CVE-2026-101019 va CVE-2026-101025-ni tuzatadi; agar siz njs dan foydalanayotgan bo’lsangiz, modulning NGINX bilan mosligini ham tekshirishingiz kerak. S20
F5 NGINX kirish boshqaruvchisi / shlyuz matosi	NGINX yadrosi tegishli, ammo mustaqil dasturiy ta’minotni tarqatish zanjiri. Tegishli zaifliklarni tegishli kontrollerlar, tasvirlar va nashr yozuvlari bilan tuzating. Podda NGINX ikkilik faylini shunchaki almashtira olmaysiz.
Kubernetes hamjamiyati kubernetes/ingress-nginx	Loyiha 2026-yil mart oyida to‘xtatiladi va endi yangi xavfsizlik xizmatini ta’minlamaydi. Uning reliz raqamini F5 NGINX Ingress Controller deb noto‘g‘rilashdan ko‘ra, xizmat ko‘rsatilayotgan kontroller yoki Gateway API ga o‘tishni rejalashtirishingiz kerak. S21

3.6 Qaysi yamoqni tanlash kerak?

Joylashtirish shakli	Tavsiya etilgan amaliyotlar	Ta’mirlashni tasdiqlovchi hujjat
nginx.org rasmiy DEB/RPM to’plami	Yuqori oqim filialining sobit versiyasiga yangilang	nginx -v/-V, paket manbai, xavfsizlik bo’yicha rasmiy e’lon
Ubuntu/Debian rasmiy ombori	Sotuvchining xavfsizlik paketlarini o’rnating	To’liq paket versiyasi + sotuvchi USN/DSA + CVE holati
RHEL/Alma/Rocky/SUSE/Boshqa tarqatmalar	Maxsus tarqatish xavfsizligi byulletenlari va paket versiyalariga muvofiq yangilang	Tegishli sotuvchi CSAF/e’lon, Ubuntu/Debian versiyasini qo’llash mumkin emas
Rasmiy yoki maxsus konteyner tasvirlari	Tasdiqlangan ta’mirlash tasvirini qayta tiklang yoki torting va uni ketma-ket almashtiring	Tasvirlar dayjesti, SBOM yaratish, ishlaydigan pod/konteyner tasvir identifikatori
O’z-o’zidan tuzilgan NGINX, OpenResty, Tengine yoki uchinchi tomon modullari bilan yamalgan versiyalar	Ta’minotchining to’liq xavfsizlik versiyasidan foydalanishga ustuvor ahamiyat bering; kerak bo’lganda maqsadli manba daraxti uchun ko’rib chiqilgan yamoq portlarini bajaring	Beshta zaiflikni tuzatish, ABI/modul muvofiqligi, birlik va biznes regressiyasi

OpenResty va Tengine turli xil chiqarish tizimlari; bu jadval faqat tekshirish usulini tavsiflaydi. Bu uning barcha versiyalari standart NGINX bilan bir vaqtda ta’sirlanishini anglatmaydi va yuqori oqim kodini so’zsiz qo’llash mumkin emas.

4. Rasmiy ta’mirlash jarayoni

4.1 Tashqi trafikni qabul qilishning haqiqiy holatlari inventarizatsiyasi

Har bir yozuv uchun kamida:

• Domen nomi, yuk balansi/CDN/chekka proksi-havolasi, saytning kelib chiqish usuli va foydalanilgan tarmoq protokoli.
• NGINX mahsulotlari (Ochiq manba, Plus, Ingress va boshqalar), to’liq versiya, paketlar ombori manbasi, tasvir dayjesti.
• nginx -V qurilish modullari va kompilyatsiya parametrlarini ko’rsatadi; njs, Lua, OpenResty va uchinchi tomon dinamik modullari mavjudmi.
• Haqiqiy ishlaydigan master/worker PID, xizmat ko’rsatish birligi/konteyner/pod, Replika va Worker tugun.
• Haqiqiy samarali http/stream, server, location, include konfiguratsiyalari.
• HTTP/3, mTLS, SSI/AIO, dinamik jurnal yo’li, murakkab map va regexni yozib olish yoqiladimi.

Faqat standart /etc/nginx/nginx.conf ni tekshirmang. Ishlab chiqarish muhiti ko’pincha include orqali bir nechta saytlarni, TLS va modul konfiguratsiyalarini yuklaydi. Bundan tashqari, bir nechta NGINX o’rnatish yo’llari yoki bir nechta proksi-qatlamlar bo’lishi mumkin.

4.2 Versiya va kompilyatsiya ma’lumotlarini tekshiring

# NGINX 版本及构建选项
nginx -v
nginx -V 2>&1

# Linux：查看实际运行的 NGINX 进程
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

# Debian / Ubuntu：查看完整已安装包版本、来源
apt-cache policy nginx
# 兼顾 nginx-core / nginx-full / nginx-extras 等实际已安装包
dpkg-query -W 'nginx*' 2>/dev/null

# RPM 系：以实际安装包及仓库公告为准
rpm -qa | grep '^nginx'

nginx -V buyruq qatori yo’lida topilgan ikkilik faylning tuzilishi haqida xabar beradi; ishlayotgan worker uni yuklaganligini isbotlamaydi. nginx -v tarqatishning to’liq paket qo’shimchasini o’tkazib yuborishi mumkin, shuning uchun paket menejeri yoki ta’minot zanjiri yozuvlarini ham tekshiring.

4.3 Samarali konfiguratsiyani eksport qiling va statik skriningning birinchi bosqichini bajaring

nginx -T konfiguratsiyani sinab ko’radi va birlashtirilgan konfiguratsiyani tashlab yuboradi. Chiqishda autentifikatsiya hisob maʼlumotlari, asosiy yoʻllar, ichki xost nomlari va boshqalar kabi nozik maʼlumotlar boʻlishi mumkin. Boshqariladigan terminalni root ruxsatlari va shaxsiy fayl ruxsatnomalari bilan saqlash tavsiya etiladi va asl fayllarni jamoat buyurtmalariga joylashtirmang:

sudo sh -c 'umask 077; nginx -T > /root/nginx-effective.conf 2> /root/nginx-config-check.log'

sudo grep -nE \
  'alias|rewrite|map[[:space:]]|request_filename|aio[[:space:]]|ssi[[:space:]]|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_ticket_key|ssl_session_tickets|ssl_verify_client|log_format|root[[:space:]]' \
  /root/nginx-effective.conf

Bu ishonchli CVE avtomatik aniqlash vositasi emas, faqat nomzod yo’lini aniqlash vositasi:

1. grep o‘zgaruvchilar bir xil location yoki bir xil so‘rovni baholash zanjirida joylashganligini yoki konfiguratsiya merosi munosabatini aniqlay olmaydi.
2. proxy_request_buffering on, ba’zi kesh va chipta konfiguratsiyalarida standart qiymatlar mavjud va tegishli ko’rsatmalarni yozmaslik xavf yo’qolishini anglatmaydi.
3. Teskari proksi-serverlar, CDN, konteyner yonboshlari yoki kontrollerlar tomonidan yaratilgan konfiguratsiyalar qo’lda tekshiriladigan fayllardan farq qilishi mumkin.
4. NGINX Plus va dinamik modullarning xarakteristikalari tegishli rasmiy boshqaruv vositalaridan foydalangan holda tasdiqlanishi kerak bo’lishi mumkin.

4.4 Ishonchli kanallar orqali tuzatishni tarqating

Debian/Ubuntu (rasmiy tarqatish ombori):

sudo apt-get update
apt-cache policy nginx

# 升级发行版仓库中已经安装的 NGINX 及相关包；
# 先确认 Candidate 属于修复版本，再执行升级。
sudo apt-get install --only-upgrade nginx

# 对实际安装的 nginx-core / nginx-full / nginx-extras 等包
# 确认它们的版本和依赖一同达到厂商修复要求。
dpkg-query -W 'nginx*' 2>/dev/null

Ushbu buyruqlar to’plami hali mavjud bo’lmagan xavfsizlik tuzatishlarini yarata olmaydi. Ayniqsa, Debian 12 uchun, agar yangilangan paket hali ham xavfsizlikni kuzatish tizimi tomonidan zaif deb topilsa, qo’shimcha sotuvchini ta’mirlash, izolyatsiya yoki migratsiya choralari talab qilinadi. S13S14S15

nginx.org rasmiy paketi:

# 先确认仓库来自 nginx.org、目标分支和候选版本
apt-cache policy nginx
# 经变更审批后再执行对应仓库的升级命令
sudo apt-get install --only-upgrade nginx

Agar o’z-o’zidan kompilyatsiya qilingan OpenResty, Tengine yoki NGINX Plus dan foydalansangiz, tegishli texnik xizmat ko’rsatuvchi tomonidan qo’llab-quvvatlanadigan tuzatish versiyasidan foydalaning va nginx.org, tarqatish va uchinchi tomon ombor paketlarini aralashtirmang. Asl ikkilik/tasvirlar, konfiguratsiyalar, imzolar va qayta joylashtirish manifestlari saqlanishi kerak.

Konteynerlar/Kubernetes: o’zgarmas tasvirni yangilang, uning dayjestini yozing va barcha eski nusxalarni bosqichli chiqish bilan almashtiring. kubectl rollout status faqat joylashtirish boshqaruvchisi tugaganligini tasdiqlaydi; shuningdek, tasvir hazm qilishlarini, kirish marshrutini va nosog’lom replikalarni tekshiring.

4.5 Konfiguratsiyani tekshiring va eski Worker ni almashtiring

sudo nginx -t
# 按服务实际名称、主机高可用和变更窗口执行重启
sudo systemctl restart nginx
sudo systemctl status nginx --no-pager

# 核查真正存在的 master / worker
ps -eo pid,ppid,user,comm,args | grep '[n]ginx'

nginx -s reload-ni yangi binar ishlayotganligining isboti sifatida ko’rmang: oddiy konfiguratsiyani qayta yuklash eski master-ga bajariladigan faylni almashtirmasdan yangi ishchilarni ishga tushirishga imkon beradi. NGINX maxsus onlayn ikkilik yangilash protsedurasini qo’llab-quvvatlaydi, ammo bu qo’shimcha qadamlar va tekshirishni talab qiladi. Belgilangan tartibsiz, xizmatni qayta ishga tushirishdan so’ng yuqori mavjudlikdagi trafik kalitidan foydalaning yoki almashtirish konteynerlarini chiqaring. S22

Agar siz NGINXni systemd rozetkasi, konteynerga kirish skripti yoki bir nechta oʻrnatish orqali boshqarsangiz, systemctl restart nginx barcha misollarni qamrab oladi deb toʻgʻridan-toʻgʻri taxmin qilish oʻrniga haqiqiy ishga tushirish maqsadini va jarayon yoʻlini tekshirishingiz kerak.

4.6 Haqiqiy tashqi kirishdan biznes regressini qabul qiling va bajaring

Hech bo’lmaganda bajarish tavsiya etiladi:

• Oddiy HTTPS, qayta yozilgan marshrutlar, statik resurslar va alias xaritalash sahifalari toʻgʻri.
• Oddiy map taqsimoti, o’zgaruvchan root yo’li, kirish jurnali yo’li, SNI/sertifikat marshruti va Stream proksi-server to’g’rimi?
• HTTP/3 uchun oddiy yuklamalar, boʻlaklarga boʻlingan yuklamalar, API soʻrovlari va yuqori oqim hajmi chegaralari (yoqilganda) kutilganidek saqlanib qoladimi.
• mTLS: qonuniy sertifikat so’rovlari muvaffaqiyatli bo’lishi kerak; etishmayotgan, muddati o’tgan yoki ruxsatsiz sertifikatlar hali ham rad etilishi kerak va TLS qayta ishga tushirish/qayta ulanish ruxsatlarni tasodifan o’zgartirmasligi kerak.
• SSI sahifasi va asinxron faylga kirish normalmi; xato jurnali xotiraga havolalar yoki takroriy Worker ishdan chiqishlari uchun g’ayritabiiy so’rovlarni ko’rsatmaydi.
• Trafikni o’zgartirgandan so’ng, eski versiya jarayoni va eski rasm replikasi chiqishi kerak edi.

Sinov o’z yoki ruxsat etilgan muhitda o’tkazilishi kerak. Oddiy so’rovning tutun testi faqat xotira zaifligi aniqlanganligini isbotlay olmaydi; Oxir oqibat, etkazib beruvchining sobit versiyasi, manba kodi patchi va ish vaqti testi qabul qilish uchun birgalikda qabul qilinishi kerak.

5. Darhol yangilash mumkin bo’lmaganda, yumshatish choralari

Ushbu bo’lim yamoqni almashtirish emas, balki xavfni kamaytirish variantidir. Barcha vaqtinchalik konfiguratsiya o’zgarishlarining zaxira nusxasi yaratilishi, nginx -t amalga oshirilishi, to’plamlarda chiqarilishi va kerak bo’lganda tezda orqaga qaytarilishi kerak. S3S4

5.1 Tashqi ta’sirga asoslangan trafik ustuvorligini boshqaring

O’z vaqtida yangilanib bo’lmaydigan xizmatlarning hujum maydonini kamaytirishga ustuvor ahamiyat bering: boshqaruv yuzasida va ichki API Ishonchli manbaga kirishni boshqarish, yuqori oqimdagi tarmoq izolyatsiyasi yoki qisqa muddatli oflayn rejimda qo’shing; yuqori xavfli kirishlarga ulanish, so’rov tanasi va tarif chegaralarini qo’shish; manba autentifikatsiyasi so’rovni qayta ishlash zanjiridan oldin kirish bilan bog’liq NGINX da amalga oshirilishiga ishonch hosil qiling. Shuni ta’kidlash kerakki, zaifliklarning aksariyati NGINX ma’lumotlar tekisligida joylashgan bo’lib, an’anaviy WAF qoidalari maxsus konfiguratsiyani ishga tushirish shartlarini aniq belgilamasligi mumkin.

5.2 alias / rewrite: qayta yozishdan keyin $request_filename ni baholashdan saqlaning

Tekshirish va sozlash tavsiya etiladi:

• alias yordamida location bilan bir vaqtda URI o‘zgartiradigan rewrite ni bajarmaslikka harakat qiling.
• URI qayta yozilgan, lekin to‘g‘ri pozitsiya mosligi hali tugallanmagan bo‘lsa, $request_filename dan foydalanmang.
• return, set, if, add_header, kirish jurnali formatidagi bilvosita oʻzgaruvchan havolalarni tekshiring va fayllarni kiriting.
• Biznesga ruxsat berilganda aniq root/try_files/mustaqil location dan foydalaning, lekin faqat alias ni root ga o‘zgartiradi. Shuningdek, u birma-bir tekshirilishi kerak bo’lgan fayl yo’li semantikasini o’zgartirishi mumkin.

Mavjud konfiguratsiyani qayta yozish uchun Internetdagi umumiy “xavfsiz qayta yozish shablonini” to’g’ridan-to’g’ri nusxa ko’chirmang. Turli xil location prefikslari va qayta yozish maqsadlari butunlay boshqacha ma’noga ega bo’lgan yo’llarni birlashtirishga olib keladi. S5

5.3 map/Regex: O’zgaruvchilar holatini aralashtirishni qisqartirish

Vaqt o’tishi bilan $1 kabi anonim suratga olishlarni turli regex baholash yo’llarida qayta ishlatishga ruxsat berish o’rniga, nomlangan suratga olishlarga ustuvorlik berish va ularning tarqalish doirasini cheklash tavsiya etiladi. Masalan:

# 演示具名捕获的结构，实际变量名和匹配表达式须按业务调整
map $host $tenant_root {
    default /srv/www/default;
    ~^(?<tenant>[a-z0-9-]+)\.example\.net$ /srv/www/$tenant;
}

Bu parcha faqat o’zgaruvchan mulkning tekshirish oson tuzilmasini ko’rsatadi; barcha CVE-2026-93479 ishga tushirish yo’llarini mustaqil ravishda yo’q qilish isbotlanganligini anglatmaydi. Xususan, qo’lga olish o’zgaruvchilari boshqa root yoki log_format tomonidan muddatidan oldin havola qilinganligini va volatile, dinamik yo’llar va o’zaro bog’liq baholash zanjirlari mavjudligini ko’rib chiqing. F5/CERT qisqa muddatli yengillik sifatida nomli suratga olishdan foydalanishni va foydalanish doirasini mos keladigan muntazam mos keladigan konfiguratsiya bilan cheklashni tavsiya qiladi. S3S6

5.4 AIO + SSI: Keraksiz funksiya birikmalarini o’chirib qo’ying

SSI yoki asinxron fayl kiritish/chiqishini talab qilmaydigan serverlar/yo’llar uchun quyidagilardan foydalaning:

# 在适当的 http/server/location 上下文中配置
ssi off;
aio off;

Zaiflikni qo’zg’atuvchi shartlar nuqtai nazaridan, ikkitadan birini yopish odatda tasvirlangan maxsus zanjirni olib tashlash uchun etarli; bir vaqtning o’zida yopilish faqat biznes bu qobiliyatga tayanmaydigan stsenariylarga nisbatan qo’llaniladi. include virtual, pastki so’rovlar, kesh va iplar hovuzining harakatini tekshiring; teskari proksi yuk yuqori bo’lsa, AIO ni o’chirish kechikish va kiritish/chiqarish ish faoliyatini o’zgartirishi mumkin. S7

5.5 HTTP/3 Badanga in’ektsiyani so’rash: agar kerak bo’lsa, kirishni vaqtincha yoping

ni o’chirib qo’ying quic tinglovchi ishtirok etadi HTTP/3 , bekor qiling Alt-Svc e’lon qiladigan javob sarlavhasi HTTP/3 , va chekka qatlam/yuk balanslagichi hali ham jo’natayotganligini tekshiring QUIC to’g’ridan-to’g’ri ta’mirlanmaganlarga so’rovlar NGINX :

# 示意：保留 HTTPS/TCP；暂时移除此前的 QUIC/UDP listen
server {
    listen 443 ssl;  # 保留 HTTPS/TCP 入口
    # 对支持新版语法的构建，可在此使用 http2 on;
    # 删除原有的 listen 443 quic reuseport;
    # 删除原有的 add_header Alt-Svc ...;（仅限宣传 h3 的那项）
    # 其余证书、server_name、location 等配置保持不变
}

Yuqorida aytilganlar faqat o’zgarishlar farqining tavsifi, alohida-alohida yoqish mumkin bo’lgan to’liq server konfiguratsiyasi emas. HTTP/2 ning sozlash sintaksisi NGINX versiyasi bilan bog’liq; agar siz HTTP/2ni saqlab qo’yishingiz kerak bo’lsa, http2 on; yoki tegishli versiyaga muvofiq mavjud sintaksisdan foydalaning va nginx -t bilan tekshiring. butun bo’limni ushbu bo’lim bilan almashtirish o’rniga, joylashtirishdan oldin mavjud server konfiguratsiyasi bilan birlashtirilishi kerak. shuningdek, UDP 443 xavfsizlik devorini, HTTP/3 tugatish joyini va CDN/old proksi-serverning mijozning zaxira yo’lini tekshiradi.

Qisqa muddatli yumshatishning yana bir turi zararlangan proksi-server yo’lida proxy_request_buffering off; dan foydalanishdir, biroq bu yuqori oqim so’rovining asosiy oqimi, muvaffaqiyatsizlikni qayta urinishlari va ba’zi yuklash ish oqimlarining harakatini o’zgartiradi; direktiva ta’sirlangan HTTP/3 proksi-yo’liga to’g’ri kelishini etarli darajada sinovdan o’tkazgandan va tasdiqlagandan so’ng foydalanish mumkin. S8S18

5.6 TLS Seans chiptasi: ustuvor himoya mTLS Autentifikatsiya chegarasi

Agar yangilash imkoni bo’lmasa va misol umumiy seans keshi + avtomatik chipta kaliti aylanishiga tayansa, quyidagilarni baholang:

# 在 nginx http/server 适当作用域进行配置
ssl_session_tickets off;

Bu TLS Session Chipta mexanizmini o’chirib qo’yishi va shu bilan ushbu zaiflikda tasvirlangan chipta qalbakilashtirish yo’lini olib tashlashi mumkin; ammo, bu seansni davom ettirishga ta’sir qilishi mumkin. Siz “zaifliklardan qochish” uchun mTLS mijoz sertifikatini tekshirishni oʻchirib boʻlmaydi, chunki bu asl autentifikatsiya chegarasini bevosita oʻchirib tashlaydi. S9S12

Aniq ssl_session_ticket_key fayllari va xavfsiz aylanish ham professional TLS boshqaruv jarayonlari tomonidan avtomatik yaratilgan sharoitlarni chetlab o’tish uchun ishlatilishi mumkin, biroq asosiy saqlash, tugunlarni to’liq taqsimlash, aylanish va eski chiptaning ishlash davrlari diqqat bilan tekshirilishi kerak. Oddiy veb-konfiguratsiya yoki vaqtinchalik favqulodda vaziyatlar uchun skriptlarda uzoq muddatli qayta foydalanish mumkin bo’lgan kalitni qattiq kodlash tavsiya etilmaydi. mTLS dan foydalanadigan muhim xizmatlar TLS seansini qayta boshlash harakati va amaldagi mijoz sertifikatisiz so‘rovlarni rad etish uchun qo‘shimcha ravishda kuzatilishi kerak. S12

5.7 Operatsion tizim va chegaralarni muhofaza qilishning roli

# Linux：常见值 2 表示进程地址空间随机化处于完整启用状态
sysctl kernel.randomize_va_space

ASLR, root bo’lmagan ishchilar, faqat o’qish uchun konteyner fayl tizimlari, minimal fayl ruxsatlari va tarmoq izolyatsiyasi potentsial RCE ta’sirini kamaytirishi mumkin. ASLR to’plangan to’siqlarni yoki UAFni tuzatmaydi va ishchilarning ishdan chiqishiga kafolat bera olmaydi. WAF, tarif cheklovlari va soʻrovning tana oʻlchami chegaralari TLS Chipta kaliti sinxronizatsiyasini tuzatmaydi. S4

5.8 Umumiy tushunmovchilik: ta’mirlashni yakunlash uchun bu operatsiyalar etarli emas

Umumiy operatsiyalar	Nima uchun bu etarli emas?
“nginx -v nisbatan yangi ko’rinadi”	U tegishli bo’lgan filial, reliz versiyasining to’liq backported paketi versiyasi va onlayn jarayon tekshirilmaydi.
“Intranetlardan faqat bittasi yangilandi”	Eski Worker/eski konteyner/eski CDN asl nusxasi hali ham so’rovlarni qabul qiladi.
”Sayt PHP/dinamik teglardan foydalanmaydi”	Kamchilik NGINX yadro yo’lida yoki protokolni tahlil qilishda yuzaga keladi va PHP bajarilishiga tayanmaydi.
”WAF/Cloudflare-ni ochish kifoya”	WAF barcha NGINX konfiguratsiyasiga bog’liq xotira kamchiliklarini yoki TLS qayta ishga tushirish kamchiliklarini blokirovka qilishini isbotlab bo’lmaydi.
”ASLR allaqachon ochilgan”	Faqatgina qiyinchilikni yumshatish imkoniyatidan foydalanish; So’rovni kiritish bilan DoS hali ham mumkin
”HTTP/3 umumiy tarmoqqa ta’sir qilmaydi, shuning uchun umuman yangilashga hojat yo’q”	Qolgan to’rtta CVE hali ham mustaqil baholashni talab qiladi; va yashirin kelib chiqishi bilan bevosita aloqalar bo’lishi mumkin
”Iyuldagi map zaifligi tuzatildi”	Oktyabr CVE-2026-93479 keyingi skriptni baholash regressiya muammolarini o’z ichiga oladi
”Keshni o’chirib qo’yish barcha muammolarni hal qiladi”	Faqat ba’zi TLS keshiga yoki AIO stsenariylariga ta’sir qiladi va taxallus, skript, HTTP/3 ni qamrab olmaydi

6. Rasmiy Patchni amalga oshirish g’oyalari va ko’rib chiqish nuqtalari

Ushbu boʻlim 2026-yil oktabr oyidagi yuqori oqim NGINX tuzatishlaridan soʻng. Parchalar yamoqlarni ko’rib chiqish uchun vakolatli o’zgarishlarni ko’rsatadi; ular to’liq emas, mustaqil ravishda kompilyatsiya qilinadigan tuzatishlar. Maxsus tuzilmalar uchun toʻliq topshiriqlar, atrofdagi kod va testlarni koʻrib chiqing va toʻliq qoʻllab-quvvatlanadigan versiyani afzal koʻring. S5S6S7S8S9

6.1 CVE-2026-15176: URI alias yo‘l xaritasini rad etish shartlarini o‘z ichiga olgan holda qayta yozildi

Yuqori oqim src/http/ngx_http_core_module.c da o’zgartirilgan ngx_http_map_uri_to_path():

- if (alias && !r->valid_location) {
+ if (alias && (!r->valid_location || r->uri_changed)) {

ko‘rib chiqish markazi: URI o‘zgarganda fayl tizimi yo‘lini hisoblashni davom ettirib bo‘lmaydi, lekin alias ning tegishli joylashuv semantikasi endi ishonchli emas. Bu davlatdan oldingi cheklovni kuchaytirishdir. URI so’rovida noqonuniy belgilar mavjudligini tekshirish oddiy emas. S5

6.2 CVE-2026-93479: Chiqish ma’lumotlari uzunligi va zahiralangan uzunlikni to’g’ri ajrating

Yuqori oqim src/http/ngx_http_script.c va src/stream/ngx_stream_script.c ni bir vaqtning o’zida yangilaydi. Asosiy maqsadni quyidagicha umumlashtirish mumkin:

- n = len;
+ n = 0;
  /* ...计算实际脚本输出长度... */
- value->len = n;
- value->data = ngx_pnalloc(pool, n);
+ value->len = n + len;
+ value->data = ngx_pnalloc(pool, n + len);

Bu yerda pool tasviriy parametr nomidir: haqiqiy HTTP va Stream ajratish ifodalari farqlanadi. O’zgartirish avval skript chiqish uzunligini hisoblab chiqadi, so’ngra zaxiralangan uzunlikni yakuniy ajratishga qo’shadi, shuning uchun chiqish zahiradagi bo’sh joyni qayta yozmaydi. S6

Audit va backporting paytida HTTP/Stream ning tegishli baholovchisi ham qamrab olinishi kerak; faqat map konfiguratsiya sintaksisi faylini tekshirish nuqson tuzatilganligini isbotlay olmaydi.

6.3 CVE-2026-97205: 8-bitli asenkron operatsiyalar soni uchun xavfsizlik chegarasini o’rnating

Yuqori oqim src/http/ngx_http_request.h da qo’shildi:

#define NGX_HTTP_MAX_BLOCKED 250

Va shunga o’xshash yozuvlarni asinxron fayllarni o’qish, keshni kutish, chiqish filtrlash va ip bilan ishlashga qo’shing:

if (r->main->blocked >= NGX_HTTP_MAX_BLOCKED) {
    /* 使用同步路径，或者拒绝新的异步操作 */
}

ko’rib chiqish markazi: r->main->blocked qo’shadigan barcha haqiqiy kod yo’llari qamrab olinishi kerak. Sarlavha faylida faqat chegara konstantasini yozib bo’lmaydi. Backport, shuningdek, vazifalarni to’g’ridan-to’g’ri rad etish natijasida tugash yoki mos yozuvlar oqishi sabab bo’lmasligiga ishonch hosil qilish uchun sinxron qayta qo’ng’iroq qilish, asinxron qayta qo’ng’iroq va xatoliklarni qaytarishning to’liq muvofiqlashtirilishini tekshirishi kerak. S7

6.4 CVE-2026-95101: skip holatini noma’lum kadrlar uchun alohida saqlang

Yuqori oqim skip maydonini HTTP/3 tahlil qiluvchi status strukturasiga qo’shadi va holatni ajratishni amalga oshiradi:

if (st->type != NGX_HTTP_V3_FRAME_DATA && st->length > 0) {
    st->skip = st->length;
    st->length = 0;
    st->state = sw_skip;
}
/* ... */
rc = ngx_http_v3_parse_skip(b, &st->skip);

Asosiysi, “noma’lum HTTP/3 freymlarini o’chirish” emas, balki bir nechta o’qishlar davomida o’tkazib yuborilgan baytlar soni va DATA foydali yuk uzunligi har doim mustaqil davlatlar tomonidan boshqarilishini ta’minlashdir. Sharhlar noma’lum kadrlar o’zaro bufer parchalanishiga va client_max_body_size ning yakuniy mustahkamligiga e’tibor qaratishlari kerak. S8

6.5 CVE-2026-97629: To’liq TLS kalit uyasi qatorini sinxronlashtiring

Yuqori oqim o’zgarishlar src/event/ngx_event_openssl.c da joylashgan:

  ngx_memcpy(keys->elts, cache->ticket_keys,
-            2 * sizeof(ngx_ssl_ticket_key_t));
+            keys->nelts * sizeof(ngx_ssl_ticket_key_t));

Asl rasmda uchta asosiy uy bor edi, lekin faqat birinchi ikkitasi ko’chirildi. Buning o’rniga, Worker ovoz berish kalitlari to’plami umumiy xotiraga mos kelishini ta’minlash uchun massiv elementlarining haqiqiy soniga qarab sinxronlashtiring. Ko‘rib chiqishda memcpy uzunligi modifikatsiyasini bir marta tekshirish o‘rniga massivni ajratish, ishga tushirish, umumiy bloklash va aylanish mantig‘i mos kelishini ham tasdiqlang. S9

6.6 Nima uchun faqat tarqoq yamoq bo’laklarini qo’llash tavsiya etilmaydi?

Ushbu besh modifikatsiya mos ravishda src/http, src/stream, src/http/v3 va src/event ni qamrab oladi va eski versiyalarda xavfsizlik portlari va norasmiy kengaytmalar bo’lishi mumkin. Backporting quyidagi tekshirish matritsasini shakllantirishi kerak:

Ob’ektni tekshirish	Nimani tasdiqlash kerak
yamoq manbai	Rasmiy topshirish, mos keladigan maqsadli versiya, to’liq yamoq va imzoni tekshirish
Asl patch to’plami	CVE-2026-42533, tarqatish porti va boshqalar kabi tarixiy modifikatsiyalarga zid kelmaydi.
kod yo’li	HTTP + Stream skripti, AIO/ip, HTTP/3, OpenSSL Chipta hammasi qamrab olingan
Kompilyatsiya qilingan mos	OpenSSL, PCRE, ABI moduli, dinamik modul va havola bog’liqliklari izchil
funktsional regressiya	alias qayta yozish, dinamik jurnal, SSI/AIO, HTTP/3 yuklash, mTLS sessiyasini qayta boshlash
ish vaqti	Barcha Worker/Pods yangi tasdiqlangan tuzilmalarni ishga tushiradi, hech qanday eski tasvir qolmaydi

O’z nashrlarini saqlaydigan jamoalar uchun har bir CVE uchun tekshiriladigan yamoq identifikatorlari, paket versiyalari, tuzilish jurnallari va regressiya hisobotlarini saqlash tavsiya etiladi; oddiy foydalanish va texnik xizmat ko’rsatish uchun eng xavfsiz yechim sotuvchining to’liq xavfsizlik yangilanishlarini o’rnatishdir.

7. Tarixiy zaiflikni orqaga qaytarish, eski filiallar va boshqa mahsulotlar

7.1 NGINX asosiy zaifligi 2026-yilning mayidan sentyabrigacha bir vaqtda tasdiqlanishi kerak

Uzoq vaqt davomida yangilanmagan ko’plab NGINX misollari nafaqat oktyabr oyida yangi nashrga ta’sir qilmaydi. Quyida yaqin kelajakda vakillik ta’mirlash tugunlari keltirilgan: S1S2

CVE	Birinchi tuzatish versiyasi	Auditni talab qiladigan asosiy xavflar va shartlar
CVE-2026-42945	Stable 1.30.1 / Mainline 1.31.0, 13-may	rewrite Anonim regexni qo’lga olish va almashtirish mantig’i to’p to’lib ketishini, potentsial RCE; yovvoyi tabiatda hujumga urinishlar haqida ommaviy xabarlar mavjud
CVE-2026-9256	Stable 1.30.2 / Mainline 1.31.1, 22-may	rewrite-da bir-biriga o’xshash regexni olish va uzunlikni baholash to’lib ketishiga olib keladi
CVE-2026-42055	Stable 1.30.3 / Mainline 1.31.2, 17-iyun	HTTP/2 Yuqori oqim yoki gRPC uchun maxsus konfiguratsiya, katta so’rov sarlavhasi holati bufer to’lib ketishini ishga tushiradi
CVE-2026-42530	Mainline 1.31.2, 17-iyun	HTTP/3 Foydalanishdan keyin bepul; rasmiy belgisi ta’sir diapazoni 1.31.0–1.31.1
CVE-2026-42533	Stable 1.30.4 / Mainline 1.31.3, 15 iyul	map + regexni yozib olish o’zgaruvchisini baholash to’pning to’lib ketishiga olib keladi va keyingi yamalar oktyabr oyida CVE-2026-93479 bilan regressiya korrelyatsiyasiga ega
CVE-2026-60005	Stable 1.30.4 / Mainline 1.31.3, 15 iyul	ngx_http_slice_module Xotira tarkibi ma’lum o’zgaruvchilar va keshni yangilash shartlari ostida sizib ketgan
CVE-2026-56434	Stable 1.30.4 / Mainline 1.31.3, 15 iyul	SSI UAF bilan bog’liq; root sabab oktyabrdagi AIO hisobidagi zaiflik bilan bir xil emas
CVE-2026-90439	Stable 1.30.5 / Mainline 1.31.6, 15 sentyabr	HTTP/3 + o’ziga xos OpenSSL versiya kombinatsiyasining cheklangan to’planishi, asosan ishdan chiqish/cheklangan xotira buzilishi sifatida namoyon bo’ladi.

2026 yilda e’lon qilingan NGINX Core, HTTP/2, charset va SMTP kabi boshqa zaifliklar ham rasmiy xavfsizlik byulletenlariga muvofiq tekshirilishi kerak; ushbu jadval ataylab joriy NGINX ommaga qaragan teskari proksi-proksi-serverni joylashtirishga eng mos keladigan va xotira xavfsizligi yoki so’rovning yaxlitligiga ta’sir ko’rsatadigan odatiy hodisalarga qaratilgan. 2026 yildagi barcha CVElar emas. Roʻyxat. S1

Nima uchun CVE-2026-42945 ga alohida e’tibor berish kerak

May oyida ushbu rewrite zaifligi uchun yovvoyi tabiatdagi ekspluatatsiya faoliyati va ommaviy ekspluatatsiya kodi ma’lumotlarini qayd qiluvchi davlat idoralarining xavfsizlik byulletenlari mavjud. Shu sababli, may oyidan hozirgi kungacha uzoq vaqt davomida tuzatilmagan va umumiy tarmoqda ochiq murakkab muntazam ifodalarni qayta yozishga ega bo’lgan misollar uchun, ta’mirlashni yakunlashdan tashqari, noodatiy Worker ishdan chiqishi, kirish jurnallari va o’sha paytdagi shubhali o’zgarishlar qo’shimcha ravishda ko’rib chiqilishi kerak. S23

“Hujumga urinish sodir bo’ldi” tajovuzkor har bir nishonda buyruqlarni ishonchli bajarganligini avtomatik ravishda isbotlamaydi; hodisaga javob berish bilan bog’liq bo’lsa, murosaga kelish ko’rsatkichlari va jarayonning buzilishi imtiyozlarning kuchayishi yoki davom etishining haqiqiy dalillaridan alohida tekshirilishi kerak.

7.2 Eski versiyalar va tarqatish portlari uchun remediatsiya

NGINX Turli filiallarning o’z qo’llab-quvvatlash davrlari va turli zaifliklarni kiritish vaqtlari mavjud. Beshta yangi yamoqni barcha dastlabki manba daraxtlariga ko’rib chiqmasdan tarqatib bo’lmaydi.

sahna	Tavsiya etilgan strategiya
Reliz versiyasi to’liq xavfsizlik tuzatishlarini e’lon qildi	Sotuvchi paketlaridan foydalaning va to’liq paket versiyalarini hujjatlang; mos kelmaydigan yuqori oqimdagi yalang’och ikkilik fayllar bilan almashtirishdan saqlaning
Debian 12 va bu toʻplamdagi barcha CVElarda hali qamrab olinmagan boshqa taʼsirlangan relizlar	Xavfli ish buyurtmalarini yuborish, tashqi ta’sirni cheklash va yetkazib beruvchi/ELTS holatini tekshirish; kerak bo’lganda tekshirilishi mumkin bo’lgan texnik xizmat ko’rsatish zanjirini ko’chiring yoki foydalaning
Yuqori oqimni qo’llab-quvvatlashni tugatgan tarixiy filiallar	Qo’llab-quvvatlanadigan versiyalarga ko’chirishni birinchi o’ringa qo’ying; agar qisqa muddatli qo’llab-quvvatlash zarur bo’lsa, ta’minotchilar bog’liqliklar va yamoq mosligini baholaydilar va to’liq testlarni yozadilar.
NGINX vilkalar bilan birga keladi (OpenResty, Tengine, moslashtirilgan shlyuz)	Avval tegishli kod yo’li kiritilgan yoki yo’qligini aniqlang, so’ngra vilkalar boshqaruvchisining xavfsizlik bayonotidan foydalaning. U to’g’ridan-to’g’ri yuqoridagi versiyaga teng bo’lishi mumkin emas.
Xavfsizlik yamoqlari biznes funktsiyalaridagi o’zgarishlarga olib keladi	Bosqichli ishlab chiqarishni, versiyalar o’rtasida trafik almashinuvini va konfiguratsiyani moslashtirishni qabul qiling; umumiy tarmoqning aniqlanmagan versiyasini izolyatsiyasiz tiklash maqsadga muvofiq emas.

7.3 njs, kirish va NGINX yadrosi uchun alohida remediatsiya

• njs: NGINX asosiy dasturiga qo’shimcha ravishda NGINX JavaScript modulining versiyasini ham tekshirishingiz kerak. njs 1.0.2 2026-yil oktabrida XML tahliliy xotirasi tugashi va obʼyekt havolasi atributlari bilan XML tekshiruvi nomuvofiqligi muammosini tuzatdi. nginx-saml yordamida XML imzosini tekshirish bilan bogʻliq joylashtirishlar uchun plagin stsenariylari boʻyicha rasmiy njs koʻrsatmalarini oʻqib chiqishingiz kerak. S20
• F5 NGINX Plus / NGINX Ingress Controller: Bundan tashqari, kontroller va Gateway Fabric har birida qo’shimcha xavfsizlik byulletenlari, turli qadoqlash versiyalari va noyob siyosat zaifliklari bo’lishi mumkin. Bir qatlamni yangilash boshqa qatlamni avtomatik ravishda yangilashni anglatmaydi. S19
• Kubernetes hamjamiyati ingress-nginx: Kubernetes rasmiylari allaqachon nazoratchi 2026-yil mart oyida texnik xizmat ko‘rsatishni to‘xtatganini va uning omborini F5 kontrolleri bilan adashtirib bo‘lmaydi, deb e’lon qildi. Ta’sirlangan korxonalar muammosiz migratsiyani rejalashtirishi va yangi xavfsizlik versiyasini kutish o’rniga kirish izohlari va Gateway API semantik farqlarini tekshirishi kerak. S21

8. Qabul qilish mezonlari va keyingi tekshiruvlar

Ish buyurtmalarini o’zgartirish uchun qabul qilish shartlari sifatida quyidagi ro’yxatdan foydalanish tavsiya etiladi:

Loyiha	Malakaviy standartlar	Saqlanishi mumkin bo’lgan dalillar
Aktiv va portal qamrovi	CDN ni chetlab o’tishi mumkin bo’lgan barcha tashqi va to’g’ridan-to’g’ri ulangan nusxalar inventarizatsiya qilingan.	Domen nomi, LB, IP, Pod/konteynerlar ro’yxati
Paket manbai va ta’mirlash doirasi	Barcha tegishli CVE’larni qamrab olish uchun tasdiqlangan versiyalardan foydalaning	Yuqori oqim xavfsizligi bo’yicha maslahat, USN/DSA, paket versiyasi, tasvir dayjesti
eski jarayondan chiqish	Barcha eski master/worker/konteynerlar almashtirildi	PID/boshlash vaqti, tarqatish holati, ishlayotgan tasvir
Konfiguratsiya auditi	Yuqori xavfli kombinatsiyalar yo’q qilindi yoki yamoqlar bilan qoplandi va meros munosabatlari tekshirildi	nginx -T ning tahrirlangan xulosasi va audit yozuvi
TLS/mTLS	Ishonchli sertifikatlar o’tadi; haqiqiy emas yoki etishmayotgan sertifikatlar rad etiladi; seansni qayta boshlash autentifikatsiyani chetlab o’tmaydi	Salbiy/ijobiy avtorizatsiya testi, nazorat ostidagi TLS test natijalari
HTTP/3 so’rovning asosiy qismi	Ruxsat etilgan yo’lni yoqish; upstream so’rov tanasi va drossel to’g’ri harakat qiladi	HTTP/3, proksi-serverni yuklash, tovush chegarasi regressiyasi testi
SSI/AIO	Funktsiya talablarga javob beradi, Workerda anormal abort yo’q	Biznes regressiyasi, ishdan chiqish va xatolik darajasi monitoringi
Operatsion va texnik xizmat ko’rsatish monitoringi	Aniq istisno yo’q 5xx, SIGSEGV, jarayon qayta-qayta chiqadi	Xizmat ko’rsatkichlari va o’zgarishlardan oldin va keyin jurnallar
Orqaga qaytarish strategiyasi	Orqaga qaytarish zarur bo’lsa, avval ta’sir qilishni cheklang va xavfsizlik chegaralarini saqlang	Buyurtmalarni, favqulodda vaziyatlar oqimini va karantin rejalarini o’zgartirish
keyingi hayot aylanishi	Xavfsizlik byulleteniga obuna bo’lish, konteynerni yangilash chastotasi va filial migratsiya rejalarini aniqlang	Yangilash kitobi, mas’ul shaxs va keyingi tekshirish sanasi

8.1 Jurnallar va ish holatida nimaga e’tibor qaratishingiz kerak?

Uzoq vaqt davomida ochiq bo‘lgan serverlardagi anormalliklarni bartaraf etish worker process exited on signal 、 SIGSEGV , so‘rovning noto‘g‘ri ko‘tarilishi, manbaga kirishning g‘ayritabiiy yig‘ilishi, kutilmagan TLS Seansni qayta boshlash/autentifikatsiya so‘rovining asosiy muvaffaqiyati va g‘ayritabiiy backend harakati. Ushbu ko’rsatkichlar faqat tergov ishorasi sifatida ishlatilishi mumkin va ma’lum bir CVE dan foydalanilganligini to’g’ridan-to’g’ri isbotlash uchun etarli dalil emas. ;Tegishli jurnallarning yo’qligi hujum bo’lmaganligini isbotlamaydi.

8.2 Tavsiya etilgan xavf bo’yicha yakuniy xulosa matni

Ishlab chiqarish muhiti uchun qabul qilish hisoboti quyidagi aniq ifodadan foydalanishi kerak:

NGINX tashqi xizmatga kirish va dasturiy paketlar manbasi aniqlandi. Barcha tegishli misollar yuqori oqimning rasmiy xavfsizlik versiyasiga yangilangan yoki reliz sotuvchisi tomonidan tasdiqlangan backport to’ldirilgan; eski Worker va eski konteynerlar almashtirildi. Taxallus/qayta yozish/xarita, AIO/SSI, HTTP/3 soʻrov tanasi va TLS sessiya chiptasi/mTLS bilan bogʻliq konfiguratsiyalar tekshirildi va funksional, autentifikatsiya va regress tekshiruvidan oʻtdi. Yangilashni hali tugatmagan holatlar uchun qo’shimcha ravishda ta’sir qilish joylari, kompensatsiya choralari, mas’ul shaxslar va tugatish muddatlarini ro’yxatdan o’tkazing.

Agar Debian 12 yoki boshqa relizlar uchun yamoq hali ham toʻliq boʻlmasa, butun qabul shaklini “tugallangan” deb baholash oʻrinli emas; hal qilinmagan CVE, tegishli tetik konfiguratsiyasi mavjudmi, izolyatsiya holati va yakuniy yangilash yo’li aniq qayd etilishi kerak.

---

Ilova: keltirilgan manbalar va havolalar

Tavsif: Matndagi [Sx] raqamlari ushbu bo’limga bir xilda mos keladi. Quyida loyiha xavfsizligi to’g’risidagi yuqoridagi e’lonlar, kod majburiyatlari, yetkazib beruvchilarni chiqarish to’g’risidagi e’lonlar va milliy xavfsizlik agentligi ma’lumotlariga ustuvor ahamiyat beriladi. Ko’rsatilgan zaifliklarning jiddiyligi har bir emitent tashkilotning reyting mezonlariga muvofiq tavsiflanadi; ma’lumotlarni tekshirish sanasi - 2026 yil 27 oktyabr.

S1 - NGINX Open Source rasmiy xavfsizlik byulleteni

• https://nginx.org/en/security_advisories.html

Besh oktabrdagi CVE ning yuqori oqimiga ta’sirlangan versiyalari, tuzatish filiallari va rasmiy jiddiylik darajalarini o’z ichiga oladi, shuningdek, 2026 yilgacha bo’lgan tarixiy zaifliklarni qamrab oladi.

S2 — NGINX rasmiy versiya relizlar rekordi

• https://nginx.org/news.html
• https://nginx.org/en/CHANGES-1.30

2026-10-14 1.30.6 / 1.31.7, 2026-10-21 1.31.8 va maydan sentabrgacha xavfsizlikni chiqarishning muhim bosqichlarini tasdiqlang.

S3 - Singapur kiberxavfsizlik agentligi: F5 NGINX uchta muhim zaiflik

• https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-150/

CVSS v4.0 9.2 ballari tavsifi, zarur konfiguratsiya shartlari va CVE-2026-15176, CVE-2026-93479 va CVE-2026-97205 uchun oraliq yumshatish tavsiyalari.

S4 - NHS Angliya: F5 NGINX Yuqori xavf haqida maslahat

• https://digital.nhs.uk/cyber-alerts/2026/cc-4872

Xotira xavfsizligi muammolarining DoS / potentsial RCE ta’siri va ASLR o’chirilishi yoki chetlab o’tilishi kabi cheklovlar tasvirlangan.

S5 - Rasmiy manba: CVE-2026-15176

• https://github.com/nginx/nginx/commit/f8a23425bd6840c4c36b4264edf576ba3646156f

ngx_http_map_uri_to_path() da alias va r->uri_changed holatini tekshirishga mos keladi.

S6 - Rasmiy manba: CVE-2026-93479

• https://github.com/nginx/nginx/commit/6aa4b3fdd4fdc156153f2981eb4070690624447c

HTTP/Stream skript uzunligi va zahiralangan bufer ajratish mantig’iga mos keladi.

S7 - Rasmiy manba: CVE-2026-97205

• https://github.com/nginx/nginx/commit/6adfc05ece48f92446383ec1f145446848694698

r->main->blocked hisoblash chegarasi NGX_HTTP_MAX_BLOCKED 250 va asinxron yo‘lning qaytarilishiga mos keladi.

S8 - Rasmiy manba: CVE-2026-95101

• https://github.com/nginx/nginx/commit/1c173a2d8767730e678c27446138d7ae5dd6fd64

HTTP/3 noma’lum kadrning qolgan uzunligi va DATA so’rovi tanasi uzunligiga mos keladigan holatni ajratish.

S9 - Rasmiy manba: CVE-2026-97629

• https://github.com/nginx/nginx/commit/1916f26e6ca49296568633d309777e36527e5bb2

Sinxronizatsiya TLS Session Chiptasini aylantirish vaqtida barcha kalit uyalariga mos keladi.

S10 - F5: CVE-2026-15176 sotuvchining e’loni

• https://my.f5.com/manage/s/article/K000162416

alias, rewrite, $request_filename va kirish jurnallari kabi ishga tushiruvchi omillarni sanab o’ting.

S11 - F5: CVE-2026-93479 sotuvchisi e’loni

• https://my.f5.com/manage/s/article/K000162607

Ro‘yxat xaritasi regexni yozib olish, root yo‘li va o‘zgaruvchilarni baholash shartlarini jurnalga kiritish.

S12 - NGINX rasmiy TLS/SSL modul hujjatlari

• https://nginx.org/en/docs/http/ngx_http_ssl_module.html

Tavsif ssl_session_cache, ssl_session_tickets, ssl_session_ticket_key va mijoz sertifikati autentifikatsiyasi va boshqa ko’rsatmalar.

S13 — Xavfsizlik bo’yicha maslahat: Ubuntu USN-8955-1 (2026-10-26)

• https://ubuntu.com/security/notices/USN-8955-1

Ubuntu 22.04 / 24.04 / 26.04 / 26.10. ning to’liq dasturiy ta’minot to’plamining sobit versiyasini va tarqatish ko’lamini taqdim eting

S14 — Xavfsizlik bo’yicha maslahat: Debian DSA-6575-1 (2026-10-21)

• https://lists.debian.org/debian-security-announce/2026/msg00490.html

1.26.3-3+deb13u10 Debian 13 / trixie uchun xavfsizlik tuzatish paketini tasdiqlang va CVE-2026-93479 uchun backport assotsiatsiyasini yozib oling.

S15 — Zaiflikni kuzatish: Debian Security Tracker: CVE-2026-15176

• https://security-tracker.debian.org/tracker/CVE-2026-15176

Debian 12 / bookworm va Debian 13 / trixie tarqatish tuzatish holatini tekshirish uchun foydalaniladi. Bu holat kelajakdagi xavfsizlik yangilanishlari bilan o’zgarishi mumkin.

S16 — Zaiflikni kuzatish: Debian Security Tracker: CVE-2026-95101

• https://security-tracker.debian.org/tracker/CVE-2026-95101

Turli Debian filiallarida HTTP/3 zaifligining xavfsizlik holatini qo’shimcha tasdiqlash.

S17 — Xavfsizlik bo’yicha maslahat: Red Hat: CVE-2026-93479

• https://access.redhat.com/security/cve/cve-2026-93479

Oktyabrdagi regressiya zaifligi va iyul oyi uchun tuzatish o’rtasidagi bog’liqlik haqida qo’shimcha tushuncha CVE-2026-42533.

S18 - NGINX rasmiy teskari proksi-modul hujjati

• https://nginx.org/en/docs/http/ngx_http_proxy_module.html
• https://nginx.org/en/docs/http/ngx_http_core_module.html

proxy_request_buffering, client_max_body_size, alias, aio va boshqalar kabi konfiguratsiyalarning semantikasi va standart qiymatlarini so’rang.

S19 - NGINX Plus rasmiy reliz eslatmalari

• https://docs.nginx.com/nginx/releases/

List Plus CR/LTS filiallari, versiyalari, yamoqlari va moslik eslatmalarini yangilash.

S20 — NGINX JavaScript / njs rasmiy xavfsizlik byulleteni

• https://nginx.org/en/docs/njs/security.html
• https://nginx.org/en/docs/njs/changes.html

2026-yil oktabr njs 1.0.2 va tegishli XML tekshiruvi, xotira tugashi bilan bog‘liq muammolarni o‘z ichiga oladi.

S21 - Kubernetes: Jamiyat ingress-nginx rasmiy pensiya ko’rsatmalari

• https://kubernetes.io/blog/2025/11/11/ingress-nginx-retirement/
• https://kubernetes.io/blog/2026/01/29/ingress-nginx-statement/

Esda tutingki, loyiha 2026-yil mart oyida yangi relizlar va xavfsizlik tuzatishlarini to‘xtatdi va xizmat ko‘rsatilayotgan kontroller yoki Gateway API ni ko‘chirish tavsiya etiladi.

S22 - NGINX rasmiy xizmat nazorati va onlayn ikkilik yangilash ko’rsatmalari

• https://nginx.org/en/docs/control.html

Jarayonni almashtirishni qabul qilish uchun konfiguratsiyani qayta yuklash, qayta ishga tushirish va onlayn bajariladigan faylni yangilash usullarini farqlang.

S23 - Hukumat xavfsizlik eslatmasi: 2026 yil may NGINX qayta yozish zaifligi

• https://its.ny.gov/2026-051
• https://www.govcert.gov.hk/en/alerts_detail.php?id=1881

CVE-2026-42945 uchun tarixiy xavf fonini va xavfsizlikni yangilash takliflarini taqdim eting; Yovvoyi tabiatda ekspluatatsiya bilan bog’liq qarorlar o’sha paytdagi agentlik e’loniga va hodisaning boshqa dalillariga asoslanishi kerak.

S24 — F5: CVE-2026-95101 va CVE-2026-97629 sotuvchi eʼlonlari

• https://my.f5.com/manage/s/article/K000162613
• https://my.f5.com/manage/s/article/K000162606

HTTP/3 so’rov tanasini kiritish va mos ravishda TLS Chipta kalitini avtomatik aylantirish xavfini qoplaydi.

S25 - F5: CVE-2026-97205 sotuvchining e’loni

• https://my.f5.com/manage/s/article/K000162608

Tavsif SSI/AIO ishga tushirish shartlari va potentsial xotira buzilishi xavfi.

NGINX xavfsizlik yangilanishi: konfiguratsiyani tekshirish, yangilash va tekshirish