Наличие NGINX в инфраструктуре — повод проверить версию и конфигурацию по уведомлению производителя.
Что опубликовано 21 октября
21 октября 2026 года Агентство кибербезопасности Сингапура (CSA) опубликовало уведомление AL-2026-150 об обновлениях безопасности продуктов NGINX. В нём перечислены CVE-2026-15176, CVE-2026-97205 и CVE-2026-93479.
Описанные проблемы при определённых условиях могут приводить к отказу в обслуживании или удалённому выполнению кода. Затронутость зависит от продукта, версии и конфигурации. Нельзя по одному названию NGINX заключить, что конкретный сервер уязвим.
Сначала найти владельца и установку
Веб-сервер может обслуживать сайт напрямую, работать перед приложением или входить в образ контейнера. Поэтому проверка только одного публичного узла не заменяет инвентаризацию. Важно установить, кто сопровождает компонент и каким способом поступают обновления.
Номер версии также нужно рассматривать в контексте поставщика пакета: исправления могут переноситься в поддерживаемые ветки. Вывод о защищённости следует делать по применимому уведомлению производителя или поставщика дистрибутива.
Как организовать обновление
Редакционный порядок проверки для владельца сервиса:
- Сопоставить продукт, сборку и используемые функции с уведомлениями F5 и поставщика пакетов.
- Подготовить обновление, резервную копию конфигурации и понятный план возврата.
- Проверить работу приложения после обновления и убедиться, что используется исправленная сборка.
- Зафиксировать результат, ответственного и оставшиеся узлы, которым ещё требуется обновление.
Редакция EALP · Обновлено