一、漏洞核心概述
时隔两个月，NGINX 再次爆出严重安全漏洞，漏洞编号 CVE-2026-42533，F5 官方给出 CVSS v4.0 危险评分 9.2（Critical 严重级），是长达15年的历史底层漏洞，自2011年 map 指令支持正则功能起便存在于代码中。
该漏洞属于堆缓冲区溢出，未登录、无权限的外部攻击者仅需发送特制 HTTP 请求即可触发风险：
1. 基础危害：NGINX 工作进程直接崩溃，网站断流、反复重启，造成持续性拒绝服务（DoS）；
2. 极限风险：若服务器未开启 ASLR 内存保护机制，攻击者可利用内存溢出劫持程序执行流，实现远程代码执行（RCE），完整接管服务器权限。
二、漏洞底层成因
漏洞根源位于 NGINX ngx_http_map_module 模块的双轮脚本解析引擎，缺少 PCRE 正则捕获数据的状态保存与校验逻辑：
1. 仅当 Nginx 配置中使用 带正则捕获的 map 指令，且字符串表达式先调用正则捕获变量、后调用 map 输出变量时，会绕过缓冲区长度边界校验；
2. 攻击者可控超长内容填入固定大小堆内存缓冲区，发生溢出覆盖相邻内存结构体（进程清理函数指针、链式内存块等）；
3. 溢出可配合内存信息泄露漏洞绕过 ASLR 防护，稳定实现远程代码执行攻击链。
简单来说：只要你的站点配置文件写了带正则匹配的 map 规则，就存在被攻击入口。
三、受影响与修复版本清单
- 开源 NGINX（绝大多数站长/VPS用户使用）
- 受影响全版本： 0.9.6 ~ 1.31.2 （包含 Stable 稳定版、Mainline 主线开发版）
- 官方修复版本：
- 稳定分支 Stable：1.30.4
- 主线分支 Mainline：1.31.3 及更新版本
- 商业版 NGINX Plus
- 受影响：R33~R36（P7之前）、37.0.0.1 ~ 37.0.2.1
- 修复版本：R36 P7、37.0.3.1 以上
- 衍生组件
NGINX Ingress Controller、Gateway Fabric、App Protect WAF 等配套网关/安全组件同步受该漏洞影响，需同步升级对应修复包；BIG-IP 产品不受此漏洞波及。
四、站长/IDC运维应急处置方案（按优先级执行）
方案1：彻底根治（推荐，唯一永久修复手段）
直接升级 NGINX 至官方修复版本，分系统操作思路：
1. apt 系统（Debian/Ubuntu）：更新 nginx 软件源，执行 apt update && apt install nginx ；
2. yum/dnf 系统（CentOS/RHEL）：替换官方稳定源，升级 nginx 包；
3. 源码编译安装：前往 nginx.org 下载 1.30.4 / 1.31.3 源码，重新编译覆盖旧程序，重载配置。
升级完成后执行 nginx -v 核对版本号，确认修复生效，执行 systemctl reload nginx 平滑重载服务，避免网站停机。
方案2：临时缓解（无法立刻升级时短期防护）
1. 检查全部 nginx.conf、站点虚拟主机配置，临时删除所有带正则捕获的 map 指令，注释相关配置后重载服务；
2. 服务器防火墙封禁异常高频、超长请求头的恶意访问源；
3. 开启系统 ASLR 内存保护，大幅提升远程代码执行攻击难度；
4. 部署 WAF 拦截超长自定义请求头、畸形正则参数数据包。
临时缓解仅降低攻击面，无法彻底根除漏洞，仅作为升级前过渡手段。
五、站长重点自查清单
1. 查看 Nginx 版本： nginx -v ，若低于 1.30.4 / 1.31.3 属于高危；
2. 全局检索配置是否存在 map + regex 组合规则： grep -r "map ~" /etc/nginx/ ；
3. 确认服务器是否开启 ASLR： cat /proc/sys/kernel/randomize_va_space ，返回值为2代表正常开启；
4. 网站是否对外暴露80/443端口，无前置CDN、WAF防护的裸站风险最高。
六、风险总结与建站建议
1. 覆盖周期长达15年，存量 VPS、自建站、反向代理服务器受波及范围极广，攻击者利用门槛极低，无需登录认证；
2. 仅 DoS 崩溃风险就足以导致网站持续无法访问，IDC、测评站、个人博客等对外站点务必优先升级；
3. 运维长期习惯：每半个月检查一次 Nginx、OpenSSL 等基础中间件安全公告，优先选择稳定分支官方正式修复版，减少高危漏洞暴露窗口。