NGINX严重漏洞（CVE-2026-15176、CVE-2026-93479、CVE-2026-97205）

问题概述

F5 已发布 NGINX 安全更新,修复 NGINX Open Source、NGINX Plus 及基于其构建的产品中的 3 个高危漏洞。每个漏洞的评级均为高危(CVSS v3.1 8.1分)和严重(CVSS v4.0 9.2分)。这些漏洞只有在服务器使用下列特定配置、并满足一定条件时,才可能被未经身份验证的远程攻击者利用。

漏洞列表:

• CVE-2026-15176:ngx_http_core_module 堆缓冲区溢出。当 alias 与 rewrite 一起使用,且 set/return 引用 $request_filename 时触发;在访问日志 log_format 中使用 $request_filename 也会触发。
• CVE-2026-93479:使用正则匹配的 map 指令存在堆缓冲区溢出。当 root 指令或访问日志格式先引用 map 的正则捕获变量、后引用 map 输出变量时触发。
• CVE-2026-97205:ngx_http_core_module 释放后使用(Use After Free)。在启用异步文件 I/O(aio)且服务器端包含(ssi)页面使用 include virtual 时触发。

风险: 攻击者可导致 NGINX 工作进程崩溃,造成拒绝服务(DoS)。在禁用 ASLR 或 ASLR 可被绕过的系统上,攻击者还可能执行任意代码。漏洞仅影响数据平面,不涉及控制平面。

您需要做什么(请立即处理)

所有运行 NGINX 或下列基于 NGINX 的 F5 产品的团队,必须立即升级。

受影响版本(如正在使用以下任一版本,请更新):

• NGINX Open Source:1.31.0 – 1.31.6、1.0.0 – 1.30.5、0.1.29 – 0.9.9(0.x 无修复版本,请升级至 1.31.7 或 1.30.6)
• NGINX Plus:37.0.0 – 37.0.4,以及 R33 – R36(R 分支无修复版本)
• NGINX Instance Manager:2.18.0 – 2.23.0
• F5 WAF for NGINX:5.9.0 – 5.15.0
• F5 DoS for NGINX:4.8.0 – 4.10.0
• NGINX Gateway Fabric:2.1.0 – 2.7.2,以及 1.5.0 – 1.6.2(1.x 无修复版本)
• NGINX Ingress Controller:5.0.0 – 5.6.3、4.0.0 – 4.0.1、3.7.1 – 3.7.2,以及 LTS 2026-lts-r3 – r8(3.x、4.x 及 LTS 无修复版本)
• NGINX App Protect WAF:5.4.0 – 5.8.0 及 4.12.0 – 4.16.0(无修复版本)
• NGINX App Protect DoS:4.5.0 – 4.7.0(无修复版本)

不受影响:BIG-IP(所有模块)、BIG-IQ、F5 Insight、F5OS、BIG-IP Next、F5 Distributed Cloud、NGINX One Console 及 F5 AI Gateway。

如无法立即更新: 请先采用以下临时缓解措施。

• CVE-2026-15176:避免在 location 块中使用 alias,并避免使用 $request_filename 变量。
• CVE-2026-93479:不要使用未命名的正则捕获,改用命名捕获,并仅在正则匹配所在的块内使用。
• CVE-2026-97205:关闭 aio 或 ssi 其中之一。运行 nginx -T,确认没有被包含的配置文件重新开启该指令。

如您使用的分支无修复版本(NGINX Open Source 0.x、NGINX Plus R33–R36、App Protect WAF/DoS、Gateway Fabric 1.x、Ingress Controller 3.x/4.x/LTS),请规划迁移至已修复的分支。

已修复版本

• NGINX 开源版：1.31.7 / 1.30.6
• NGINX Plus：37.0.5.1 / 37.1.0.1
• NGINX Instance Manager：2.24.0
• F5 WAF for NGINX：5.16.0 / 5.14.2
• F5 DoS for NGINX：4.11.0
• NGINX Gateway Fabric：2.8.0
• NGINX Ingress Controller：5.7.0