歷史文章日期：2026-10-14（漏洞公開及修復日期）。資料核驗與補充截至：2026-10-27。

事件與影響

NGINX 於 2026-10-14 發表 Stable 1.30.6 與 Mainline 1.31.7，修正五個核心漏洞：CVE-2026-15176、CVE-2026-93479、CVE-2026-97205、CVE-2026-95101 和 CVE-2026-97629。問題分別涉及路徑對映、變數求值、非同步檔案操作、HTTP/3 請求體及 TLS 會話票據。風險取決於實際配置，不能概括為所有 NGINX 部署均可遠端執行程式碼。

優先行動

  1. 使用上游版本时，分别达到 Stable 1.30.6 或 Mainline 1.31.7 的修复门槛；本文补充核验时 Mainline 已发布 1.31.8。使用發行版包或 NGINX Plus 時，按廠商對應分支及完整包版本驗收。
  2. 審計 alias、rewrite、map、SSI/AIO、HTTP/3 和共享 TLS 會話組合
  3. 驗證配置後重新啟動或捲動取代全部舊實例。普通配置 reload 不能單獨證明線上二進位已更新。

驗收與後續處置

確認真實入口使用已修復的軟體包或鏡像，並回歸代理上傳、請求體限制、路由和用戶端憑證認證。 WAF、ASLR 與臨時配置調整不能取代正式補丁；不同發行版的修復狀態也不能互相套用。

本文依 10 月 14 日事件日期歸檔，包含後續補充資料。 閱讀完整 NGINX 漏洞成因與修復指南，查看受影響條件、分支修復基線、修補機制、臨時措施及官方來源。