NGINX曝三枚高危漏洞，最严重可远程执行代码

F5 披露了三个影响 NGINX Plus 和 NGINX Open Source 的高危漏洞，警告未认证攻击者可能利用这些漏洞触发内存破坏、使工作进程崩溃，或在最坏情况下执行任意代码。

这些漏洞于 2026 年 7 月 15 日发布，影响广泛使用的 NGINX 组件，包括 Ingress Controller（入口控制器）、Gateway Fabric（网关框架）、App Protect WAF（应用防护 Web 应用防火墙）以及 Instance Manager（实例管理器）。

Part01

漏洞一：堆缓冲区溢出

三个漏洞中最为严重的是 CVE-2026-42533，其 CVSS v3.1 评分为 8.1（高危），CVSS v4.0 评分为 9.2（严重）。问题根源在于 map 指令处理正则匹配时，当字符串表达式在 map 输出变量之前引用了捕获变量，攻击者可发送构造的 HTTP 请求来触发 NGINX 工作进程中的堆缓冲区溢出（CWE-122）。

除了导致服务崩溃，F5 还警告攻击者可能实现在禁用或绕过地址空间布局随机化（ASLR）的系统上执行代码。F5 建议将未命名的正则捕获替换为命名捕获作为缓解措施。

Part02

漏洞二：未初始化内存泄漏

此漏洞（CVSS v3.1 8.2 / v4.0 8.8）影响 ngx_http_slice_module 模块，该模块默认未启用，需使用 --with-http_slice_module 构建标志才能开启。

当 slice 指令与未命名的正则捕获配合使用，或在后台缓存更新期间，攻击者可以访问未初始化的内存，造成数据有限泄露或导致工作进程重启。缓解措施同样是使用命名捕获。

Part03

漏洞三：释放后使用

该漏洞评级为中危/高危（CVSS v3.1 6.5，CVSS v4.0 8.3），影响 ngx_http_ssi_module 模块。当服务器端包含（Server-Side Includes）与 proxy_pass 及 proxy_buffering off 一同使用时，存在此问题。

控制上游响应的中间人攻击者可能触发释放后使用（CWE-416），导致有限的内存修改或崩溃。目前除打补丁外，无其他缓解措施。

Part04

受影响产品与修复建议

上述三个漏洞均影响以下版本范围：

值得注意的是，BIG-IP、BIG-IQ、F5 Distributed Cloud、F5OS 和 F5 AI Gateway 不受影响，这些问题仅限于 NGINX 的数据平面组件。

NGINX 支撑着大量面向互联网的基础设施，这使得这些漏洞对机会主义攻击者极具吸引力，尤其是 CVE-2026-42533 因其代码执行潜力而更受关注。

运行受影响 NGINX Plus、Ingress Controller 或 Gateway Fabric 部署的组织应立即优先进行修补，特别是如果正在使用包含正则捕获的 map 指令或 SSI 模块。

F5 感谢十几位独立研究人员——包括来自 AntAISecurityLab、EVO.company 和 Vodafone Türkiye 的团队——负责任地披露了 CVE-2026-42533，而 CVE-2026-60005 由内部发现，CVE-2026-56434 由研究员 p4p3r 报告。

推荐阅读

电报讨论