历史文章日期：2026-10-14（漏洞公开及修复日期）。资料核验与补充截至：2026-10-27。

事件与影响

NGINX 于 2026-10-14 发布 Stable 1.30.6 与 Mainline 1.31.7，修复五项核心漏洞：CVE-2026-15176、CVE-2026-93479、CVE-2026-97205、CVE-2026-95101 和 CVE-2026-97629。问题分别涉及路径映射、变量求值、异步文件操作、HTTP/3 请求体及 TLS 会话票据。风险取决于实际配置，不能概括为所有 NGINX 部署均可被远程执行代码。

优先行动

  1. 使用上游版本时，分别达到 Stable 1.30.6 或 Mainline 1.31.7 的修复门槛；本文补充核验时 Mainline 已发布 1.31.8。使用发行版包或 NGINX Plus 时，按厂商对应分支及完整包版本验收。
  2. 审计 alias、rewrite、map、SSI/AIO、HTTP/3 和共享 TLS 会话缓存相关组合，优先保护公网入口和使用客户端证书认证的服务。
  3. 验证配置后重启或滚动替换全部旧实例。普通配置 reload 不能单独证明线上二进制已更新。

验收与后续处置

确认真实入口使用已修复的软件包或镜像，并回归代理上传、请求体限制、路由和客户端证书认证。WAF、ASLR 与临时配置调整不能替代正式补丁；不同发行版的修复状态也不能互相套用。

本文按 10 月 14 日事件日期归档，包含后续补充资料。阅读完整 NGINX 漏洞成因与修复指南，查看受影响条件、分支修复基线、补丁机制、临时措施及官方来源。