CVE-2026-42533
CVE-2026-42533 в nginx: переполнение буфера при map с регулярным выражением
Проверьте nginx, если в конфигурации используются map и регулярные выражения: CVE-2026-42533 затрагивает версии до 1.31.2 включительно, а проект указывает уровень major. Материал объясняет проверку бинарного файла и конфигурации, а также безопасный переход на исправленную ветку.
Кому нужно проверить
Администраторам VPS и выделенных серверов, DevOps/SRE и специалистам, отвечающим за reverse proxy nginx; владельцам сайтов на хостингах, если провайдер позволяет проверить версию и конфигурацию веб-сервера. Важна не только марка продукта, но и конкретная версия, способ установки, операционная система и конфигурация.
В чём риск
Переполнение буфера в обработке map/regex может нарушить работу процесса nginx и при соответствующих условиях создать риск отказа в обслуживании или нарушения целостности процесса. Не делайте более сильный вывод о последствиях без проверки первичного advisory и конкретной сборки.
Затронутые версии
По официальной странице nginx уязвимы версии 0.9.6–1.31.2. Условие по названию проблемы — использование map и регулярного выражения; это не означает, что любая конфигурация nginx с map одинаково эксплуатируема. Проверьте конфигурацию фактически загруженного экземпляра и поставщика пакета. Российские хостинги могут использовать собственную сборку или backport; одной строки версии в панели может быть недостаточно.
Исправленные версии
Официальный перечень указывает как неуязвимые nginx 1.30.4+ и 1.31.3+. Используйте доступную исправленную ветку и сверяйте пакет с advisory дистрибутива/F5, особенно для сборок из репозиториев ОС или панели хостинга.
Что сделать
- 1Зафиксируйте, какой именно nginx обслуживает домен: на VPS выполните nginx -V и nginx -v, проверьте путь к бинарному файлу, systemd unit и пакетный менеджер. На shared-хостинге запросите у поддержки версию и сведения о backport; версия локального клиента не доказывает версию edge-прокси провайдера.
- 2Проверьте активную конфигурацию через nginx -T с правами администратора и найдите директивы map, использующие regex. Не публикуйте полный вывод nginx -T: он может содержать внутренние адреса, пути и чувствительные параметры.
- 3Сверьте точный пакет и версию с официальным перечнем nginx и advisory поставщика ОС/образа. Если используется уязвимая версия, обновите пакет до 1.30.4+ либо 1.31.3+ (или подтверждённой поставщиком сборки с исправлением). Не смешивайте пакеты из разных репозиториев.
- 4Перед обновлением сохраните конфигурацию и сделайте резервную копию/снимок. Проверьте новую сборку на staging с nginx -t, затем выполните штатный reload или restart и проверьте логи, TLS, маршрутизацию, кэширование и ответы upstream.
- 5Если немедленное обновление невозможно, временно исключите или упростите именно затронутые regex-конструкции map только после проверки влияния на маршрутизацию. Такой обход не равен исправлению; согласуйте его с разработчиками и установите исправленный пакет при первой возможности.
- 6Если nginx управляется хостинг-провайдером, передайте ему CVE и спросите, применён ли фикс именно на узле, принимающем запросы сайта. BotProtection или WAF могут служить дополнительным уровнем фильтрации трафика, но не исправляют уязвимый nginx и не заменяют обновление.
Как не подпустить ботов к сайту
BotProtection принимает запросы перед вашим сайтом и фильтрует автоматизированные обращения. Поэтому ботам сложнее добраться до уязвимого компонента и начать его проверять или атаковать, а вероятность успешной автоматизированной атаки становится значительно ниже. Это дополнительный слой защиты: обновление уязвимых компонентов, проверка журналов и реагирование на инциденты остаются обязательными.
Первоисточники
Снизьте шанс атаки до того, как бот дойдёт до сайта
Подключите BotProtection как фильтр перед сайтом: подозрительные автоматизированные запросы отсекаются до обращения к вашему серверу. Это значительно снижает вероятность автоматизированной атаки, но не исправляет саму уязвимость, поэтому обновление и настройка компонентов остаются обязательными.