蓝点网
·
NGINX堆缓冲区溢出漏洞已经开始被黑客利用 安全公司提醒用户尽快升级
内容提要
NGINX 堆缓冲区溢出漏洞 CVE-2026-42945 已被黑客利用，全球约 570 万个未升级实例面临风险。安全公司建议用户立即升级到最新版本。尽管存在条件限制，攻击者仍可能发起拒绝服务攻击，导致 NGINX 崩溃。
关键要点
-
NGINX 堆缓冲区溢出漏洞 CVE-2026-42945 已被黑客利用，全球约 570 万个未升级实例面临风险。
-
安全公司建议用户立即升级到最新版本，以防止潜在攻击。
-
该漏洞评分达到 9.2 分，自 2008 年发布的 NGINX 0.6.27 版开始引入，潜伏 18 年后被发现。
-
黑客开始试探性利用漏洞发起攻击，蜜罐分析平台 VulnCheck 监测到相关活动。
-
尽管攻击者可以通过特定 HTTP 请求利用漏洞，但漏洞触发依赖于特定的 NGINX 配置。
-
要实现远程代码执行，目标服务器上的 ASLR 功能必须被禁用，启用 ASLR 的设备无法被利用。
-
拒绝服务攻击容易被利用，可能导致 NGINX 崩溃，维护者建议紧急升级 NGINX。
延伸解读
漏洞影响范围
目前全球约570万个未升级的NGINX实例面临风险，尤其是在中国和美国的实例数量较多。这些实例可能成为黑客攻击的目标，导致服务器被劫持或敏感数据被窃取。用户应尽快采取措施，确保系统安全。
攻击条件与防护
虽然攻击者可以通过特定的HTTP请求利用该漏洞，但成功利用依赖于特定的NGINX配置和ASLR功能的状态。启用ASLR的设备在一定程度上可以防止漏洞被利用，因此用户应关注服务器的安全配置。
拒绝服务攻击风险
尽管远程代码执行较难实现，但拒绝服务攻击相对容易，可能导致NGINX崩溃，影响服务可用性。维护者建议用户将升级NGINX作为紧急事项，以降低潜在的服务中断风险。
延伸问答
NGINX 堆缓冲区溢出漏洞的编号是什么？
漏洞编号是 CVE-2026-42945。
目前有多少个 NGINX 实例面临风险？
全球约有 570 万个未升级的 NGINX 实例面临风险。
安全公司对用户有什么建议？
安全公司建议用户立即升级到最新版本的 NGINX。
攻击者如何利用这个漏洞？
攻击者需要向 NGINX 发送特定的 HTTP 请求，并依赖于特定的 NGINX 配置。
实现远程代码执行需要满足什么条件？
目标服务器上的 ASLR 功能必须被禁用。
拒绝服务攻击会导致什么后果？
拒绝服务攻击会导致 NGINX 崩溃，无法正常提供服务。
