报价宝 › 科技 ›

NGINX曝三个高危漏洞全球百万级服务器需修补

报价宝来源：baojiabao.com 发布时间：2026-10-15 12:38:52 10月15日更新

报价宝综合消息NGINX曝三个高危漏洞全球百万级服务器需修补

全球使用最广的 Web 服务器软件之一 NGINX 日前被披露三个高危漏洞。其母公司 F5 于 10 月 14 日连发三份安全公告，三个漏洞编号分别为 CVE-2026-97205、CVE-2026-93479 和 CVE-2026-15176，CVSS v3.1 评分均为 8.1（高危），在更新的 CVSS v4.0 标准下更是达到 9.2（严重）。

NGINX 开源版与商业版 NGINX Plus 在全球被广泛用作反向代理、API 网关和 Kubernetes 入口控制器，部署量以百万计。F5 强调，此次问题均出在处理用户流量的数据面，不涉及控制面，未经认证的远程攻击者可通过构造恶意 HTTP 请求触发。

具体来看：CVE-2026-97205 是 ngx_http_core_module 中的释放后使用漏洞，在开启异步文件 I/O（AIO）的服务器上处理含 include virtual 指令的 SSI 页面时触发；CVE-2026-93479 是 map 指令配合正则匹配时的堆缓冲区溢出，由 Tolmo 公司的 Matt Suiche 与 Mateusz Gierblinski 上报；CVE-2026-15176 同样位于 ngx_http_core_module，出现在 alias、rewrite 与 $request_filename 等指令组合的特定配置下，由 F5 内部发现。

三者均可导致 worker 进程内存破坏或崩溃，造成拒绝服务；在地址空间布局随机化（ASLR）被关闭或可被绕过的系统上，攻击者还可能执行任意代码。F5 表示，目前没有公开的概念验证代码，也未监测到任何在野利用。

官方修复版本为：NGINX 开源版 1.31.7 与 1.30.6，NGINX Plus 37.1.0.1 与 37.0.5.1，NGINX Instance Manager、F5 WAF for NGINX 等衍生产品也同步提供了更新。暂时无法升级的管理员可采用配置层缓解措施：关闭 AIO 或 SSI、避免在 map 中使用未命名正则捕获、调整相关 location 块。

由于 NGINX 长期稳居全球 Web 服务器与云原生入口的第一梯队，安全界普遍建议尽快安排升级，并对照官方公告核查自身配置是否落在受影响范围内。

编译自 F5 安全公告及 HackersRadar，原标题："Critical NGINX Flaws Let Remote Attackers Crash Servers, Execute Code"