文章总结： 微步情报局监测到NGINX远程代码执行漏洞CVE-2026-42945，该漏洞存在于ngxhttprewrite_module模块中。当配置中连续使用rewrite和set指令且满足特定条件时，攻击者可通过构造HTTP请求触发堆缓冲区溢出，导致进程重启甚至远程代码执行。影响版本为NginxOpenSource0.6.27至1.30.1和NginxPlusR36/R32系列。官方已发布修复补丁，建议用户立即升级或调整rewrite配置使用命名捕获作为临时缓解措施。 综合评分： 85 文章分类： 漏洞分析,漏洞预警,应急响应,WEB安全,解决方案
NGINX爆新漏洞，特定配置下可实现远程代码执行
原创
微步情报局 微步情报局
微步在线研究响应中心
2026年5月14日 11:50 日本
在小说阅读器读本章
去阅读
漏洞概况
NGINX 是全球最流行的 Web 服务器和反向代理服务器，广泛应用于 API 网关与负载均衡等场景。
微步情报局近期监控到NGINX远程代码执行漏洞（CVE-2026-42945）。微步情报局已成功复现。经分析，该漏洞存在于NGINX 的 ngx_http_rewrite_module 模块中。当满足特定条件时，未认证攻击者可通过构造 HTTP 请求触发 NGINX worker 进程堆缓冲区溢出，导致进程重启。若编译时禁用地址空间布局随机化，甚至可导致远程代码执行。（完整漏洞情报请查阅https://x.threatbook.com/v5/vul/XVE-2026-19557）
漏洞利用需同时满足以下条件：
-
目标服务器的 nginx.conf 必须在同一个 location 或上下文中连续使用 rewrite 和 set 指令
-
rewrite 指令的替换字符串中必须包含问号（?）
-
随后的 set 指令必须引用之前正则表达式捕获的变量（如 $1, $2 等）
NGINX配置形如：
location~ ^/api/(.*)$ {
rewrite ^/api/(.*)$ /internal?migrated=true;
set$original_endpoint$1;
}
此漏洞无需认证，攻击者成功利用此漏洞可导致 NGINX worker 进程发生堆缓冲区溢出并引发进程重启，在特定条件下可能进一步导致代码执行。建议受影响用户尽快修复。
漏洞处置优先级(VPT)
综合处置优先级：高风险
| | | | | — | — | — | | 基本信息 | 微步编号 | XVE-2026-19557 | | CVE编号 | CVE-2026-42945 | | 漏洞类型 | 远程代码执行 | | 利用条件评估 | 利用漏洞的网络条件 | 远程 | | 是否需要绕过安全机制 | 否 | | 对被攻击系统的要求 | 1. 目标服务器的 nginx.conf 必须在同一个 location 或上下文中连续使用 rewrite 和 set 指令 2. rewrite 指令的替换字符串中必须包含问号（?） 3. 随后的 set 指令必须引用之前正则表达式捕获的变量（如 $1, $2 等） | | 利用漏洞的权限要求 | 无需认证 | | 是否需要受害者配合 | 否 | | 利用情报 | POC是否公开 | 是 | | 已知利用行为 | 否 |
漏洞影响范围
| | | | — | — | | 产品名称 | F5 Networks Inc. | Nginx Plus F5 Networks Inc. | Nginx Open Source | | 受影响版本 | Nginx Open Source： 0.6.27 <= version < 1.30.1 Nginx Plus： R36 <= version < R36 P4 R32 <= version < R32 P6 | | 有无修复补丁 | 有 |
漏洞复现
修复方案
官方修复方案
官方已发布修复方案，请访问链接下载： https://my.f5.com/manage/s/article/K000161019
临时缓解措施
如无法立即升级，可调整 rewrite 配置：将所有受影响 rewrite 指令中的未命名捕获（$1、$2）替换为命名捕获
微步产品支撑
微步漏洞情报于2026年5月13日收录该漏洞。
微步下一代威胁情报平台NGTIP及X情报社区已于漏洞收录时向漏洞订阅用户推送该漏洞情报，并将持续推送后续更新；对于已经录入资产的用户，支持实时自动化排查受影响资产。
微步威胁感知平台TDP已于20260514支持检测，检测ID：S3100175119，模型/规则高于：20260514000000
免责声明：
本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。
任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。
本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。
本文转载自：微步在线研究响应中心 微步情报局 微步情报局《NGINX爆新漏洞，特定配置下可实现远程代码执行》
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论