Уязвимости nginx в 2026 году: какая версия нужна и как защититься

nginx обслуживает огромную долю сайтов, обратных прокси и балансировщиков в мире. В 2026 году проект nginx опубликовал 26 бюллетеней безопасности — значительно больше обычного. Большинство nginx оценивает как «medium», так как для эксплуатации нужна определённая конфигурация, но некоторые ведут к повреждению памяти и, возможно, выполнению кода. F5, разработчик nginx, оценил часть октябрьских уязвимостей как критические (CVSS 4.0: 9.2).

Самые важные

Остальные бюллетени 2026 года касаются прокси HTTP/2 и gRPC, модулей mp4, slice, SSI, DAV, charset, почтового прокси и OCSP. Полный список — на nginx.org.

Что делать

1. Обновитесь до nginx 1.31.7 и новее (mainline) или 1.30.6 и новее (stable). Эти версии закрывают все бюллетени, опубликованные в 2026 году на сегодня.
2. Если nginx установлен из репозитория дистрибутива, ставьте обновление безопасности от поставщика — номер версии может не измениться, исправления переносятся в старую версию. Сверяйтесь с бюллетенем поставщика.
3. Помните о nginx внутри других продуктов: Kubernetes ingress-контроллеры, Docker-образы, панели управления и устройства тоже нужно обновить. Пересоберите образы контейнеров.
4. До обновления отключите ненужные функции: HTTP/3 (QUIC), aio, SSI, WebDAV, mp4-стриминг, почтовый прокси.
5. Проверьте сложные правила rewrite, alias и map с регулярными выражениями — несколько ошибок срабатывает именно на них.
6. Закройте админ-панели и API списками доступа и поставьте WAF перед важными приложениями.

Веб-сервер — это входная дверь вашей компании в интернете. Держите замок в актуальном состоянии.

CySec проводит аудит и обновление веб-серверов и обратных прокси, настраивает безопасные конфигурации nginx и следит за новыми бюллетенями за вас.

Источник: бюллетени безопасности nginx.

Все статьи