CVE-2026-42945: вразливість у rewrite module NGINX

Shared FAQ page chrome (breadcrumb, dates, read time, «Читайте далі», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Body

Вразливість з ідентифікатором CVE-2026-42945 повідомлена в ngx_http_rewrite_module NGINX.

Проблема стосується певних конфігурацій NGINX, які використовують директиви rewrite з неіменованими захопленнями PCRE на кшталт $1 або $2, де рядок заміни містить знак питання ?. За певних умов неавтентифікований зловмисник може надсилати спеціально сформовані HTTP-запити, що спричиняють аварійне завершення робочого процесу NGINX. На системах, де Address Space Layout Randomization (ASLR) вимкнено, можливе також виконання коду.

Згідно з офіційним повідомленням NGINX, уражені версії NGINX Open Source від 0.6.27 до 1.30.0. Версії 1.30.1 і новіші та 1.31.0 і новіші вказані як невразливі.

Продукт	Гілка	Вразлива версія	Виправлена версія	Серйозність	Вразливий компонент
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Рекомендовані дії

EuroVPS наполегливо рекомендує всім клієнтам, які використовують NGINX, перевірити встановлену версію та переглянути свої правила rewrite.

Перевірте встановлену версію NGINX:

nginx -v

Перевірте правила rewrite з неіменованими захопленнями:

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Оновлення до виправленої версії NGINX

Оновіть NGINX з пакетів вашого постачальника ОС, постачальника панелі керування або F5; виправлені версії наведені в таблиці вище.

Тимчасове пом’якшення

Якщо негайне оновлення неможливе, перегляньте уражені директиви rewrite і замініть неіменовані захоплення на кшталт $1 і $2 на іменовані там, де це можливо.

Приклад правила rewrite з неіменованим захопленням:

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Приклад з іменованим захопленням:

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Після змін у конфігурації завжди перевіряйте і перезавантажуйте NGINX:

nginx -t
systemctl reload nginx

Сервери Plesk

Plesk підтвердив, що Plesk для Linux постачає NGINX як частину базової інсталяції і може бути уражений CVE-2026-42945, залежно від встановленої версії NGINX і конфігурації правил rewrite. Проблема проявляється, коли правила rewrite посилаються на неіменовані захоплення regex, такі як $1, $2 та подібні шаблони.

Plesk зазначає, що версії NGINX нижче 1.31.1 mainline або 1.30.1 stable вразливі за наявності уражених правил rewrite. Plesk також повідомляє, що оновлений пакет NGINX очікується через офіційний канал оновлень Plesk.

Для серверів під керуванням Plesk клієнтам слід застосувати офіційне оновлення Plesk, щойно воно стане доступним. EuroVPS не рекомендує замінювати пакет NGINX від Plesk непідтримуваними сторонніми збірками, оскільки це може вплинути на інтеграцію з Plesk і майбутні оновлення.

Продукт	Гілка	Вразлива версія	Виправлена версія	Серйозність	Вразливий компонент
Plesk for Linux NGINX	Plesk-provided NGINX	Below 1.31.1 mainline or below 1.30.1 stable, if affected rewrite rules are present	Official Plesk NGINX update package	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Рекомендація EuroVPS

Також переконайтеся, що ASLR увімкнено: sysctl kernel.randomize_va_space має повертати 2.

Потрібна допомога?

Якщо ваш сервер обслуговує EuroVPS, відкрийте тікет підтримки, і ми перевіримо та оновимо NGINX за вас.

Джерела

Plesk Advisory: CVE-2026-42945 in NGINX

F5 / NGINX Security Advisory for CVE-2026-42945

NVD CVE-2026-42945 Record