Nginx 修補 5 漏洞：管理員應優先核對高風險設定並升級
Nginx 於 10 月 14 日發布 1.30.6 及 1.31.7，修補 5 項安全漏洞。iThome 報道指出，當中 3 項與記憶體處理有關，在符合特定利用條件時，可能令 Nginx 工作處理程序崩潰，甚至執行遠端程式碼；這不代表所有採用 Nginx 的網站均可被直接入侵，但對外提供網站及 API 的管理團隊應優先處理。
最應先檢查的是 CVE-2026-15176。這個 CVSS 4.0 評分 9.2 的緩衝區溢位漏洞，出現在同時使用 alias、rewrite 指令及存取 $request_filename 變數的特定設定中。iThome 指出，攻擊者可藉特製 HTTP 請求觸發問題，受影響版本可追溯至 Nginx 0.1.29。
管理員應如何排序處理
第一步應是確認實際運行的 Nginx 版本，並按既有的變更及部署流程升級至 1.30.6 或 1.31.7。升級前後均應以實際設定檔為準，特別覆核下列組合：
alias、rewrite與$request_filename是否同時出現於處理外部請求的 location；- 是否使用共享 SSL session cache，卻沒有明確指定 TLS session ticket 金鑰檔案；
- 是否啟用 HTTP/3，以及 Nginx 向後端轉送 HTTP 請求的路徑。
若未能即時升級，可先把上述高風險設定納入變更審核：減少不必要的 alias 與 rewrite 疊用、檢查 $request_filename 的使用位置，並覆核共享 SSL session cache 的 ticket key 設定。
TLS 與 HTTP/3 亦需納入檢查
另一項高風險漏洞 CVE-2026-97629 的 CVSS 4.0 評分為 8.3。iThome 報道稱，當 Nginx 採用共享 SSL session cache 而未指定 session ticket 金鑰檔案時，金鑰自動輪替機制的問題或可讓攻擊者偽造 TLS session，繞過 server 對客戶端憑證的驗證。
不過，F5 指出，攻擊者未必能成功偽造 session，亦不能控制結果。因此，這項漏洞的風險須結合是否依賴客戶端憑證作存取控制，以及相關 session 設定來判斷，不能簡化為所有 TLS 網站都會受影響。
其餘漏洞包括 HTTP/3 請求處理問題，可能令轉送至後端 server 的 HTTP 請求被插入額外資料。對使用反向代理、API gateway 或將請求交由後端 app 處理的部署而言，更新後亦應留意轉送行為與後端日誌有否異常。
對香港公司、學校及網店的 IT 團隊而言，這次修補的重點是把 Nginx 視為配置相關的風險：先找出受影響設定和對外入口，再安排升級與回歸測試。下一步值得持續留意的，是部署環境是否仍保留歷史設定，以及客戶端憑證和 HTTP/3 是否已成為實際服務的一部分。
延伸閱讀
AI 輔助說明： 本文由 AI 協助整理，並經兩輪獨立自動品質審核；資料及連結仍以原始來源為準。
參考來源
- iThome — Nginx修補5項漏洞，3項恐導致遠端程式碼執行 — original report
本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。
