Nginx 在 10 月中旬一次性修了五个漏洞，稳定分支 1.30.6、主线分支 1.31.7；这五个都不是“版本号低就一定中”，而是“配置里有没有用到那几个指令”。
Nginx 在 10 月中旬一次性修了五个漏洞，稳定分支 1.30.6、主线分支 1.31.7；这五个都不是“版本号低就一定中”，而是“配置里有没有用到那几个指令”。
五个漏洞分别卡在哪
- CVE-2026-15176：alias 指令和 rewrite 规则一起用的时候可能缓冲区溢出，反代静态目录、图片站常用这种写法。
- CVE-2026-93479：map 块里用正则匹配、又用 $1 取值，可能踩到内存问题。
- CVE-2026-97205：aio 开启、同时又开 SSI 的配置，可能出现释放后使用。
- CVE-2026-95101：HTTP/3 下开 proxy_request_buffering，可能往上游请求里注入数据。
- CVE-2026-97629：用了共享 SSL 会话缓存、又没显式配会话票据密钥轮换，可能伪造客户端会话绕过证书校验。
先查配置，再决定动作
nginx -T 会把所有 include 展开后打印完整配置。拿它去搜 alias 加 rewrite、搜 map 里的 ~ 正则、搜 aio 与 ssi、搜 listen 后面的 quic、搜 ssl_session_cache shared。命中了只代表“要多看一眼”，不代表“已经中招”，但命中意味着升级的优先级要比别人高。只看版本号的扫描器会大面积误报，因为多数服务器根本没用那几个指令。
升级路径
源码装的直接上 1.30.6 或 1.31.7。用发行版包的，走 apt 或 dnf 升级，Ubuntu 已经在 USN-8955-1 里放了 22.04、24.04、26.04、26.10 的修复包，版本号看着没变是正常的——发行版会把补丁向后移植。面板装的注意：宝塔、1Panel 里的 Nginx 是面板自己编译或容器镜像，宿主机 apt upgrade 动不到它，要在面板里升；容器项目就重建镜像，别只重启容器。
升不了怎么办
官方给了逐条缓解：CVE-2026-15176 不要在同一个 location 里同时用 alias 和 $request_filename；CVE-2026-93479 用命名捕获替代 $1；CVE-2026-97205 关掉 aio 或 SSI；CVE-2026-95101 先关掉 quic 监听；CVE-2026-97629 自己配 ssl_session_ticket_key，或者干脆关掉会话票据。这些是减速带，不是解药，改完记得 nginx -t 再 reload。
对站长的实际影响
目前没有人报告这五个漏洞被在野利用，也没有进已知利用清单，所以不用连夜停机。但反向代理和 CDN 回源那一层往往是全站单点，升一次一小时的活，值得排进本周的维护窗口，而不是等下一次“顺便”。顺带提醒：如果你用 Caddy 或 Traefik，10 月另一份研究提到 HTTP/3 的 QPACK 头部放大问题，把 quic-go 升到 0.57.0 以上就行。
本文根据公开报道整理，主要参考：The LaymanSecurity 与 Ubuntu 安全公告 USN-8955-1（2026-10-26）。
