【缝隙公告】NGINX ngx_http_rewrite_module 堆缓冲区溢出缝隙(CVE-2026-9256)

颁布功夫 2026-05-26

一 、、、缝隙概述



缝隙概述0526.png


NGINX是一款高机能开源Web服务器 、、、反向代理及负载平衡软件，，宽泛利用于互联网网站 、、、API网关 、、、云原生平台及边缘服务场景。NGINX支持HTTP/HTTPS代理 、、、缓存 、、、Rewrite规定 、、、流量调度及安全节制等职能，，具备高并发 、、、低资源亏损及矫捷配置等特点，，同时提供贸易版本NGINX Plus用于企业级利用部署。


2026年5月26日，，OG东方厅安全应急响应中心（VSRC）监测到NGINX Rewrite�？槎鸦撼迩绯龇煜�。该缝隙源于rewrite指令在处置蕴含重叠PCRE捕获组的正则表白式时，，对多个未定名捕获引用的内存处置存在缺点，，攻击者可通过机关恶意HTTP要求触发NGINX Worker过程产生Heap-based Buffer Overflow，，导致服务异常重启或回绝服务。在禁用ASLR或攻击者可能绕过ASLR�；；さ那榭鱿�，，还可能进一步实现远程代码执行。该缝隙无需身份认证即可利用，，可能导致业务中断 、、、服务器失陷及敏感业务数据泄露。



二 、、、影响领域



NGINX Plus 37.0.0

R32 <= NGINX Plus <= R36

NGINX Open Source 1.31.0

1.0.0 <= NGINX Open Source <= 1.30.1

0.1.17 <= NGINX Open Source <= 0.9.7

2.17.0 <= NGINX Instance Manager <= 2.22.0

5.9.0 <= F5 WAF for NGINX <= 5.13.0

5.2.0 <= NGINX App Protect WAF <= 5.8.0

4.10.0 <= NGINX App Protect WAF <= 4.16.0

F5 DoS for NGINX 4.9.0

4.3.0 <= NGINX App Protect DoS <= 4.7.0

2.0.0 <= NGINX Gateway Fabric <= 2.6.1

1.3.0 <= NGINX Gateway Fabric <= 1.6.2

5.0.0 <= NGINX Ingress Controller <= 5.4.2

4.0.0 <= NGINX Ingress Controller <= 4.0.1

3.5.0 <= NGINX Ingress Controller <= 3.7.2



三 、、、安全措施



3.1 升级版本


官方已颁布修复补丁，，以修复该缝隙。

NGINX Plus 37.x >= 37.0.1

NGINX Plus R36 >= R36 P5

NGINX Plus R32 >= R32 P7

NGINX Open Source >= 1.31.1

NGINX Open Source >= 1.30.2

对于0.x旧版本分支：：

0.1.17 <= NGINX Open Source <= 0.9.7

官方已申明 Will not fix，，建议升级至受支持的新版本分支。

由于NGINX Instance Manager 、、、F5 WAF for NGINX 、、、NGINX App Protect WAF 、、、F5 DoS for NGINX 、、、NGINX App Protect DoS 、、、NGINX Gateway Fabric及NGINX Ingress Controller等产品依赖底层NGINX组件，，建议同步升级其底层NGINX Open Source或NGINX Plus至已修复版本。

下载链接：：

https://my.f5.com/manage/s/article/K000161377/


3.2 一时措施


在无法立即升级至官方修复版本的情况下，，建议用户优先排查并调整NGINX配置中的rewrite规定，，预防使用$1 、、、$2等未定名PCRE捕获变量，，改用定名捕获组进行参数引用；；同时不容在rewrite规定中使用重叠 、、、嵌套或过于复杂的正则捕获逻辑，，削减由外部可控URI或Query String触发异常内存处置的风险�？刹慰既缦路绞脚呐渲�：：将rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last调整为rewrite ^/users/(?[0-9]+)/profile/(?

.*)$ /profile.php?id=$user_id&tab=$section last。此外，，建议在WAF或反向代理层限度异常长URI 、、、异常Query String及疑似恶意要求，，启用ASLR 、、、DEP等系统内存�；；せ�，，并对NGINX Worker异常退出 、、、Crash及频仍重启行为配置监控诉警，，定期审计NGINX配置文件，，持续排查高风险rewrite规定。


3.3 通用建议


定期更新系统补丁，，削减系统缝隙，，提升服务器的安全性。


加强系统和网络的接见节制，，批改防火墙战术，，关闭非必要的利用端口或服务，，削减将危险服务（如SSH 、、、RDP等）露出到公网，，削减攻击面。

使用企业级安全产品，，提升企业的网络安全机能。


加强系统用户和权限治理，，启用多成分认证机制和最小权限准则，，用户和软件权限应维持在最低限度。

启用强密码战术并设置为定期批改。


3.4 参考链接


https://my.f5.com/manage/s/article/K000161377/

https://nvd.nist.gov/vuln/detail/CVE-2026-9256