Как защитить NGINX от уязвимостей RCE и TLS после обновления октября 2026

Чтобы защитить NGINX от уязвимостей октября 2026 года, обновите его до версии 1.30.6 (stable) или 1.31.7 (mainline) и проверьте конфигурацию на директивы alias, map, aio, ssi, ssl_session_cache и на HTTP/3 (QUIC). Релиз безопасности от 14 октября 2026 года устраняет пять уязвимостей, среди которых возможное удалённое выполнение кода (RCE) и подделка TLS-сессии с обходом проверки клиентских сертификатов (mTLS). Статья рассчитана на администраторов, которые управляют собственными серверами NGINX и обратными прокси (reverse proxy). Все проверки выполняйте только на своих системах или тестовых стендах.

Модель угроз

Нарушитель — внешний неаутентифицированный клиент с сетевым доступом к серверу по HTTP/1.1, HTTP/2, HTTP/3 или TLS. Привилегии на хосте ему не нужны: достаточно отправлять специально сформированные запросы. Последствия, названные в описаниях уязвимостей: аварийное завершение рабочих процессов, повреждение памяти (в источниках упомянута возможность RCE), внедрение постороннего тела запроса в HTTP/3 и обход проверки клиентских сертификатов.

Под угрозой находятся обратные прокси, балансировщики нагрузки, API-шлюзы и сервисы, которые проверяют клиентские сертификаты. Мы предполагаем, что ОС хоста настроена стандартно, а у атакующего нет доступа к закрытым ключам сервера.

Разбор уязвимостей октября 2026 года

В имеющихся материалах нет подтверждения массовой эксплуатации этих уязвимостей. Описания взяты из бюллетеней, а работающие эксплойты в них не приводятся. Точные затронутые версии, условия и меры по каждой CVE сверяйте с карточкой в NGINX Security Advisories и бюллетенем F5.

1. CVE-2026-15176 — переполнение буфера при совместном использовании alias и rewrite.
Проблема возникает, когда директива alias подменяет корневой путь в блоке location и одновременно применяется rewrite. Специально сформированный URI приводит к записи за пределы выделенной памяти.

2. CVE-2026-93479 — переполнение буфера в ngx_http_map_module.
Затрагивает использование директивы map с регулярными выражениями. Повреждается память рабочего процесса.

3. CVE-2026-95101 — внедрение тела запроса в HTTP/3 (QUIC).
Уязвимость связана с обработкой потоков и буферизацией данных в модуле QUIC. По описанию, при proxy_request_buffering on можно внедрить постороннее тело запроса в соединение с бэкендом (HTTP Request Smuggling). Нужна ли для этого именно такая настройка и какие есть обходные меры, уточняйте в advisory.

4. CVE-2026-97629 — подделка TLS-сессии и обход проверки клиентских сертификатов.
Проявляется при ssl_session_cache shared:... без явно заданной директивы ssl_session_ticket_key. При возобновлении сессии клиент без валидного сертификата может пройти проверку ssl_verify_client on, причём недетерминированно. Единичная проверка может его не обнаружить.

5. CVE-2026-97205 — use-after-free при сочетании AIO и SSI.
Возникает, когда одновременно включены асинхронный ввод-вывод (aio on или aio threads) и Server Side Includes (ssi on). Результат — сбой рабочего процесса.

Что понадобится

• Доступ с правами root или sudo к своим серверам NGINX.
• Резервная копия каталога /etc/nginx/.
• Тестовый стенд (staging), максимально близкий к рабочей среде, и один узел за балансировщиком для пилота.
• Знание способа установки: пакет дистрибутива, репозиторий nginx.org или сборка из исходников.
• Первоисточники: nginx.org/2026.html и NGINX Security Advisories.

Шаг 1. Определите версию NGINX и параметры сборки

Проверьте версию на каждом узле, включая контейнеры и образы Docker. Версии 1.30.x относятся к ветке stable, 1.31.x — к mainline.

nginx -v
# Пример вывода: nginx version: nginx/1.30.5

Сравните номер с 1.30.6 (stable) и 1.31.7 (mainline). Версия ниже исправленной требует обновления. Версия новее исправленной тоже подойдёт. Если пакет собран дистрибутивом, исправление может быть перенесено в него без смены номера, поэтому сверяйте changelog (шаг 3).

nginx -V
# Вывод содержит аргументы сборки и подключённые модули

Обратите внимание на --with-http_v3_module (HTTP/3), --with-file-aio и --with-http_ssi_module. Если модуль не собран, связанные с ним сценарии на этом сервере невозможны.

Шаг 2. Найдите в конфигурации директивы, связанные с уязвимостями

Дамп конфигурации может содержать секреты, поэтому сохраняйте его в каталоге с ограниченным доступом, а не в общедоступном /tmp:

sudo install -d -m 700 /root/nginx-audit
sudo sh -c 'umask 077; nginx -T > /root/nginx-audit/nginx_full_dump.conf 2>&1'
# Единый снимок активной конфигурации с учётом всех include

sudo grep -En "(alias|rewrite|map|aio|ssi|quic|http3|proxy_request_buffering|ssl_session_cache|ssl_session_tickets|ssl_session_ticket_key|ssl_verify_client)" /root/nginx-audit/nginx_full_dump.conf

Этот поиск — только инвентаризация. Он не определяет, находятся ли директивы в одном контексте и образуют ли уязвимую комбинацию, а отсутствие совпадений не доказывает безопасность. Для каждой найденной директивы проверьте:

• alias и rewrite внутри одного блока location;
• map с регулярными выражениями;
• listen ... quic на публичных портах;
• ssl_session_cache shared:... без ssl_session_ticket_key там, где используется ssl_verify_client;
• aio on (или aio threads) и ssi on в одном виртуальном хосте.

Затронутые виртуальные хосты и location отметьте и сопоставьте с условиями каждой CVE в advisory. После аудита удалите дамп или передавайте его только без секретов.

Шаг 3. Обновите NGINX до 1.30.6 или 1.31.7

Сначала проверьте обновление на staging, затем на одном узле за балансировщиком и только потом раскатывайте на остальные. Для Debian/Ubuntu:

sudo apt-get update && sudo apt-get install --only-upgrade nginx
# Обновляет только пакет NGINX

Для RHEL и производных: sudo dnf upgrade nginx. Если NGINX собран из исходников, пересоберите версию 1.30.6 или 1.31.7 со своими параметрами. Образы контейнеров пересоберите, а зависящие от них сервисы перевыкатите. Общие принципы — в статье об защите корпоративной сети.

Проверьте версию и происхождение установленного пакета, а для дистрибутивных пакетов — changelog на упоминание этих CVE:

nginx -v
apt changelog nginx | head -n 40        # Debian/Ubuntu
rpm -q --changelog nginx | head -n 40   # RHEL и производные

Затем проверьте конфигурацию новым бинарным файлом и перезапустите службу:

sudo nginx -t
sudo systemctl restart nginx
# restart запускает новый бинарный файл; возможен кратковременный разрыв соединений

reload здесь недостаточен: он перечитывает конфигурацию, но не подменяет исполняемый файл уже работающего master-процесса. Если разрыв соединений недопустим, используйте документированную процедуру бинарного обновления NGINX и сначала отработайте её на staging.

Убедитесь, что запущен именно новый бинарный файл. Путь к pid-файлу может отличаться от /run/nginx.pid:

sudo ls -l /proc/$(cat /run/nginx.pid)/exe
ps -o pid,lstart,cmd -C nginx
# Пометка «(deleted)» у exe означает, что процесс работает на старом, уже заменённом файле

Шаг 4. Временные меры, если обновиться пока нельзя

Временные меры снижают риск, но не устраняют уязвимость. Определите срок, к которому их заменит обновление. Применяйте меры в таком порядке:

• CVE-2026-97205: отключите ssi (ssi off;) или aio в затронутом хосте. Ограничение: перестанут обрабатываться SSI-директивы в страницах.
• CVE-2026-95101: отключите HTTP/3 на затронутых виртуальных хостах, убрав quic из директив listen, и проверьте доступность сервиса по TCP. Директиву proxy_request_buffering off в качестве защиты не используйте: подтверждения, что она закрывает эту уязвимость, в источниках нет. Она меняет передачу тел запросов и может нарушить работу бэкенда.
• CVE-2026-15176 и CVE-2026-93479: уберите или перепишите проблемные конструкции (alias вместе с rewrite, регулярные выражения в map) только в нужных блоках и протестируйте на staging.
• CVE-2026-97629: отключите возобновление сессий для хостов с mTLS:

# В блоке http файла /etc/nginx/nginx.conf
ssl_session_tickets off;
ssl_session_cache off;

Ограничение: каждое соединение выполняет полное TLS-рукопожатие, поэтому нагрузка на CPU растёт. После изменения проверьте, что клиент без сертификата получает отказ.

Ограничение доступа к уязвимым location на уровне межсетевого экрана или WAF — вспомогательная мера: сигнатурные фильтры не заменяют патч.

Шаг 5. Настройте TLS-сессии для mTLS

Если вам нужен кэш сессий, задайте явный ключ билетов. Создайте каталог и файл с ограниченными правами; перенаправление > выполняется оболочкой пользователя, а не sudo, поэтому используйте tee:

sudo install -d -o root -g root -m 700 /etc/nginx/ssl
umask 077
openssl rand 80 | sudo tee /etc/nginx/ssl/session_ticket.key >/dev/null
sudo chmod 600 /etc/nginx/ssl/session_ticket.key

Ключ читает master-процесс NGINX, который обычно запускается от root. Проверьте это с помощью nginx -t. Затем добавьте ключ в блок server с mTLS (фрагмент конфигурации):

server {
    listen 443 ssl;
    server_name example.com;

    ssl_certificate /etc/nginx/ssl/example.com.crt;
    ssl_certificate_key /etc/nginx/ssl/example.com.key;

    ssl_client_certificate /etc/nginx/ssl/ca.crt;
    ssl_verify_client on;

    ssl_session_cache shared:SSL_EXTERNAL:10m;
    ssl_session_timeout 1h;
    ssl_session_tickets on;
    ssl_session_ticket_key /etc/nginx/ssl/session_ticket.key;
}

Это конфигурация, для которой в описании CVE-2026-97629 нет условия проявления, но она не заменяет исправленную сборку. Гарантий полного устранения уязвимости одной директивой источники не дают. Если безопасность такой конфигурации подтвердить не удаётся, отключите возобновление сессий (шаг 4) и обновитесь. Ключ билетов регулярно ротируйте: при утечке файла можно расшифровать записанный трафик сессий, использовавших эти билеты. Не полагайтесь только на факт TLS-сессии при авторизации в приложении.

Проверка результата

1. Версия и запущенный бинарный файл. Выполните nginx -v, убедитесь, что версия не ниже 1.30.6 (stable) или 1.31.7 (mainline) либо что исправление указано в changelog пакета. Затем проверьте, что процесс запущен из нового файла (шаг 3).

2. Отказ клиенту без сертификата на своём стенде. Запрос по IP-адресу может попасть в виртуальный сервер по умолчанию, а не в проверяемый. Поэтому направьте запрос на нужное имя:

curl --resolve example.com:443:203.0.113.10 -sS -o /dev/null -w '%{http_code}\n' https://example.com/api/secure
# Ожидаемо при ssl_verify_client on: 400 (No required SSL certificate was sent)

Убедитесь по access- и error-логам, что запрос попал в нужный виртуальный хост. Отдельно проверьте, что запрос с допустимым клиентским сертификатом проходит. Из-за недетерминированного характера CVE-2026-97629 повторите проверку несколько раз.

3. HTTP/3 и обычные локации. После обновления или отключения QUIC проверьте ответы, коды и логи по HTTP/3 (если он включён) и по TCP.

Для проверки внешнего периметра используйте методику из статьи как проверить безопасность своего сайта.

Порядок внедрения в организации

1. Инвентаризация: версии NGINX на физических и виртуальных серверах, в Kubernetes Ingress и контейнерах.
2. Staging: обновление и проверка регрессии, особенно mTLS и маршрутов с alias.
3. Пилот: один узел за балансировщиком, наблюдение за логами ошибок.
4. Раскатка: остальные узлы последовательно в окне обслуживания, затем проверка запущенного бинарного файла на каждом.

Обнаружение и реагирование на инциденты

Специфичных для этих уязвимостей сигнатур атак в источниках нет, поэтому ориентируйтесь на косвенные признаки.

sudo grep -E "exited on signal|segmentation fault" /var/log/nginx/error.log
dmesg -T | grep -i nginx

Записи вида worker process [pid] exited on signal 11 говорят только о сбое рабочего процесса. Они не доказывают эксплуатацию конкретной CVE: причиной может быть любая другая ошибка. Сопоставляйте такие записи с версией NGINX, конфигурацией, временем и сетевыми журналами. Выводы о RCE или конкретной уязвимости делайте только после анализа core dump и других артефактов.

Для mTLS полезно писать в access-лог значение $ssl_client_verify и искать успешные запросы к защищённым путям без успешной проверки сертификата. Журналы лучше хранить вне сервера.

Ограничения и остаточные риски

• Обновление закрывает только эти пять уязвимостей. Ошибки в бэкенде и приложениях остаются, если они не проверяют входные данные.
• Статический ключ билетов нужно ротировать. Утечка ключа позволяет расшифровать записанный трафик сессий, использовавших эти билеты.
• Фильтры WAF не заменяют патч. Подтверждения, что сигнатуры закрывают эти CVE, в источниках нет; о методах обхода WAF — в материале о методах взлома современных Firewall.
• Данные о затронутых версиях неполны. Точные диапазоны версий и условия сверяйте с карточками advisory.

Что не вошло в материал

Мы не рассматривали сторонние динамические модули (например, PageSpeed) и пользовательские Lua-скрипты: их совместимость с обновлённым ядром NGINX нужно проверять отдельно.

Материал подготовлен на основе бюллетеней NGINX и F5 и актуален на дату обновления. Применяйте инструкции и проверки только на своих серверах или с разрешения их владельца.

Источник: NGINX Security Advisories, F5