Ngày viết lịch sử: 2026-10-14 (ngày tiết lộ và phát hành bảo mật). Nguồn được kiểm tra và bổ sung thông tin thông qua 2026-10-27.

Sự kiện và tác động

NGINX đã phát hành Stable 1.30.6 và Mainline 1.31.7 trên 2026-10-14, sửa 5 lỗ hổng cốt lõi: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 và CVE-2026-97629. Chúng ảnh hưởng đến ánh xạ đường dẫn, đánh giá biến, hoạt động tệp không đồng bộ, nội dung yêu cầu HTTP/3 và vé phiên TLS. Độ phơi sáng phụ thuộc vào cấu hình; không phải mọi hoạt động triển khai NGINX đều dễ bị thực thi mã từ xa.

hành động ưu tiên

  1. Đối với các gói cao cấp, hãy đáp ứng đường cơ sở của bản vá Stable 1.30.6 hoặc Mainline 1.31.7 riêng biệt. Mainline 1.31.8 đã có sẵn vào ngày xác minh sau đó. Đối với các gói phân phối và NGINX Plus, hãy xác minh chi nhánh của nhà cung cấp và phiên bản gói đầy đủ.
  2. Các kết hợp kiểm tra liên quan đến alias, rewrite, map, SSI/AIO, HTTP/3 và bộ đệm phiên TLS được chia sẻ. Ưu tiên các điểm cuối và dịch vụ công khai bằng cách sử dụng xác thực chứng chỉ ứng dụng khách.
  3. Xác thực cấu hình, sau đó khởi động lại hoặc triển khai các bản thay thế cho mọi phiên bản cũ. Việc tải lại cấu hình thông thường không chứng minh rằng tệp nhị phân trực tiếp đã được cập nhật.

Xác minh và theo dõi

Xác nhận rằng các điểm cuối thực sự sử dụng các gói hoặc hình ảnh cố định và kiểm tra tải lên qua proxy, giới hạn nội dung yêu cầu, định tuyến và xác thực chứng chỉ ứng dụng khách. WAF, ASLR và các thay đổi cấu hình tạm thời không thể thay thế các bản vá. Trạng thái sửa lỗi của một bản phân phối không thể được coi là áp dụng cho bản phân phối khác.

Bài viết này được lưu trữ theo ngày sự kiện 14 tháng 10 và bao gồm thông tin sau này. Đọc toàn bộ hướng dẫn khắc phục và lỗ hổng NGINX để biết các cấu hình bị ảnh hưởng, các bản sửa lỗi dành riêng cho từng nhánh, cơ chế vá lỗi, biện pháp giảm thiểu tạm thời và các nguồn chính thức.