NGINX 1.23.0 落在多个 2026 年高危漏洞范围内
NGINX 在 2026 年公开了多项数据面漏洞。1.23.0 落在其中两项高危漏洞的受影响范围内，可导致拒绝服务，特定条件下可执行代码。1.23.x 已不在修复分支中。
段子原句“NGINX v1.23.0 作为边缘节点”
- 编号
CVE-2026-42533CVE-2026-97205CVE-2026-42530- 严重度
- CVSS 3.1 8.1 / 4.0 9.2（CVE-2026-42533、CVE-2026-97205）
- 利用状态
- 未见利用未见利用：F5 未报告在野利用。代码执行需要 ASLR 被关闭或绕过。
- 对段子公司
- 1.23.0 在受影响版本范围内，但利用需要特定配置：正则捕获组复用、AIO 加 SSI，或 HTTP/3。
- 影响范围
- F5 未公布受影响主机或用户数。两项漏洞都在数据面，没有控制面暴露。
- 修复版本
- →1.31.7 或 1.30.6（同时包含 CVE-2026-42533 的修复）
结论
2026 年公开的多项 NGINX 漏洞影响范围不同，不能概括成一个单独事故。NGINX 1.23.0 落入 CVE-2026-42533 和 CVE-2026-97205 的通用易受影响版本范围，但利用需要特定配置。F5 未报告这些漏洞已在野利用，也未给出受影响实例或用户总数。[1] [2] [3]
事件经过
NGINX 官方漏洞列表列出 2026 年多个 Open Source 漏洞，涉及正则映射、AIO、HTTP/3、TLS 会话票据等模块。[1] 这些漏洞不是同一根因，也不是所有 NGINX 部署均可触发。
与段子中的 1.23.0 有直接版本相关性的例子包括 CVE-2026-42533。它影响 0.9.6 至 1.31.2 的版本，但触发还要求特定 map 正则捕获配置。[2] CVE-2026-97205 影响通用版本范围 0.8.11 至 1.31.6；但只有启用特定 AIO 配置并处理 SSI 页面时才会触发。[3]
F5 于 2026-07-15 发布 CVE-2026-42533 公告，7 月 21 日更新。[2] F5 于 2026-10-14 发布 CVE-2026-97205 公告。[3] F5 对两项漏洞均描述了拒绝服务和满足条件时的代码执行可能性。
技术细节
| 漏洞 | 机制与触发条件 | CVSS | 1.23.0 是否受影响 |
|---|---|---|---|
| CVE-2026-42533 | map 使用正则，字符串表达式先引用正则捕获变量、后引用 map 输出变量；或符合条件的非缓存变量 | 8.1（v3.1，高）；9.2（v4.0，严重） | 是，版本落在范围内；需满足配置条件 |
| CVE-2026-97205 | 启用异步文件 I/O（AIO），处理含 include virtual 的 SSI 页面时触发 UAF | 8.1（v3.1，高）；9.2（v4.0，严重） | 是，版本落在通用范围内；需满足配置条件 |
| CVE-2026-42530 | HTTP/3 QUIC 中重开 QPACK encoder stream，引发 UAF | 8.1（v3.1，高）；9.2（v4.0，严重） | 否，易受影响范围仅为 1.31.0 至 1.31.1 |
| CVE-2026-97629 | TLS session tickets 相关会话伪造 | 官方列表标为中危；公告 CVSS 未在已读取页面中核实 | 否，范围从 1.23.2 起 |
CVE-2026-42533 的根因是 map 正则捕获值与字符串表达式变量求值顺序组合不当，产生堆缓冲区溢出。远程未认证攻击者可发送构造请求，导致 worker 重启；关闭 ASLR 或绕过 ASLR 时，公告还指出可能执行代码。[2]
CVE-2026-97205 的根因是 ngx_http_core_module 中 AIO 与 SSI 的特定处理路径发生释放后使用。攻击者需要诱使 NGINX 处理含 include virtual 的 SSI 页面。可能结果包括内存破坏、worker 异常退出或在 ASLR 条件允许时执行代码。[3]
CVE-2026-42530 与段子中的版本无关。F5 指定其只影响 1.31.0 至 1.31.1；HTTP/3 模块须启用，缓解方式是从 listen 指令移除 quic。[4]
影响范围
F5 公告没有公布受影响主机、用户、请求量、数据记录或财务损失数字。公开材料也未提供下载量或部署量，因此具体影响规模未找到可靠证据。
CVE-2026-42533 的官方 CVSS 为 v3.1 8.1、v4.0 9.2。F5 将它标为高危或严重，取决于评分体系。[2] CVE-2026-97205 的官方评分同为 v3.1 8.1、v4.0 9.2。[3]
F5 说明两者均为数据面问题，没有控制面暴露。公告描述了远程拒绝服务；代码执行则依赖 ASLR 被关闭或被绕过，不能表述为无条件远程 RCE。[2] [3]
截至本次调研，已打开的 F5 公告没有确认在野利用。没有足够证据证明攻击者已利用上述漏洞，也没有证据可以断言全球范围内完全不存在利用。[2] [3]
时间线
- 2026-06-17（公告日期，时区未注明）F5 发布 CVE-2026-42530 公告，涉及 HTTP/3 QUIC。[4]
- 2026-07-15（公告日期，时区未注明）F5 发布 CVE-2026-42533 公告。[2]
- 2026-07-21（公告日期，时区未注明）F5 更新 CVE-2026-42533 公告。[2]
- 2026-10-14（公告日期，时区未注明）F5 发布 CVE-2026-97205 公告。[3]
修复与缓解
优先升级到官方修复版本。CVE-2026-42533 的 NGINX Open Source 修复版本为 1.31.3 或 1.30.4。[2] CVE-2026-97205 的修复版本为 1.31.7 或 1.30.6。[3] 1.23.x 已不在这两条当前修复分支中，应迁移到仍受支持且已修复的分支，不应停留在 1.23.0。
对于 CVE-2026-42533，F5 建议避免未命名捕获组，改用唯一命名捕获组。只在与正则匹配相同的块内使用捕获变量，并避免在不同指令的正则中复用命名捕获变量。[2]
对于 CVE-2026-97205，F5 建议关闭 AIO 或 SSI。若关闭 AIO，需检查有效配置中的 aio on 和 aio threads。若关闭 SSI，需检查 ssi on。变更前应测试配置，并用 nginx -t 检查语法；F5 还建议检查完整配置并重载服务。[3]
对于 CVE-2026-42530，若暂不能升级，可关闭 HTTP/3，移除所有 listen 指令中的 quic 参数。[4]
对段子中公司的影响
若公司确实运行官方 NGINX Open Source 1.23.0，该版本属于 CVE-2026-42533 与 CVE-2026-97205 的广义受影响版本范围。边缘节点对互联网提供服务，满足公告所述网络可达条件；但攻击能否成功，取决于是否配置了对应的 map 正则变量模式，或 AIO 与 SSI 组合条件。[2] [3]
段子没有说明 NGINX 配置是否存在这些触发条件，也没有说明是否编译或启用相关模块。因此不能断言该公司实际可被利用。1.23.0 不受 CVE-2026-42530 影响，因为该 HTTP/3 漏洞仅影响 1.31.0 至 1.31.1；单凭“边缘节点”也不能推出启用了 HTTP/3。[4]
版本 1.23.0 属于过旧版本。即使未满足上述特定条件，它也缺少后续安全修复，不适合作为公网边缘节点继续运行。段子将版本与“近期漏洞”并列有现实风险基础，但没有证据表明只要运行 1.23.0 就必然遭到利用。
存疑与未验证
- 未找到 F5 或 NGINX 对上述漏洞在野利用的确认。
- 未找到受影响用户、实例、下载量、数据量或损失金额的公开数字。
- 未验证假想公司是否启用了
map正则捕获模式、AIO、SSI 或 HTTP/3。 - F5 公告显示的发布时间以日期呈现，没有给出时区；本报告不推定为 UTC 或 UTC+8。
- NVD 页面抓取未返回可用正文，因此本报告以 F5 和 NGINX 官方资料为主要依据。
- CVE-2026-97629 的完整 F5 公告未在本次报告中展开核验；仅依据 NGINX 官方安全列表确认其版本范围，不将其作为主要结论。
参考资料
调研截止 2026-10-22 UTC+8 · 未验证的内容已在正文中标注 · 数字以原始来源为准