沉睡18年的安全隐患
近日，网络安全领域曝出了一枚深藏已久的“定时炸弹”。代号为“NGINX Rift”的漏洞（CVE-2026-42945）引发了广泛关注，该漏洞存在于NGINX的核心源代码中，自2008年引入以来，长达18年未被发现。直到近期，安全研究机构通过AI驱动的源代码分析系统，仅用6小时便定位了该问题。由于NGINX在全球Web服务器市场中占据极高的份额，此次漏洞的影响面可谓极其深远。
攻击链与核心技术分析
从我们的应急响应经验来看，类似这种涉及底层内存管理的漏洞，往往具有极高的利用价值。CVE-2026-42945的本质是一个堆缓冲区溢出漏洞，存在于 ngx_http_rewrite_module 模块中。
漏洞的触发逻辑在于NGINX处理 rewrite 和 set 指令时的两阶段脚本引擎机制：在第一阶段，系统负责计算内存分配量；而在第二阶段，数据被写入该缓冲区。攻击者可以通过在 rewrite 指令中构造包含特定字符（如 +、& 或 %）的请求，导致内部标志位 is_args 在两阶段计算中出现逻辑不一致。最终，写入的数据量超出了分配的缓冲区空间，从而触发堆溢出，实现远程代码执行。
值得警惕的是，NGINX采用了多进程架构，即使攻击导致工作进程崩溃，系统也会自动重启并保持相同的堆布局，这意味着攻击者可以进行“无限次”的重试，直到成功绕过地址空间布局随机化（ASLR）等防护措施。
关联漏洞与影响范围
除了核心的RCE漏洞外，此次AI扫描还同步确认了另外三项安全缺陷：包括可能导致工作进程崩溃的内存分配漏洞（CVE-2026-42946）、TLS连接关闭后的释放后使用（UAF）漏洞（CVE-2026-40701），以及字符集模块中的越界读取问题（CVE-2026-42934）。
受影响的产品线不仅涵盖了NGINX开源版（0.6.27至1.30.0版本），还涉及NGINX Plus、Instance Manager、App Protect WAF以及Ingress Controller等多个企业级组件。
Solar 应急响应建议
这一环节是很多企业容易忽视的：在系统架构中，Web服务器往往作为流量的“第一道关卡”，一旦失陷，整个内网环境将直接暴露在攻击者面前。针对此次事件，Solar应急响应团队建议采取以下措施：
- 立即升级：这是最直接有效的手段。请相关单位尽快将NGINX版本升级至官方发布的1.31.0或1.30.1版本，以彻底修复漏洞。
- 临时缓解策略：如果短期内无法完成升级，请立即排查服务器配置文件，重点审计并精简
rewrite和set指令的使用，避免通过复杂的URI请求引入攻击向量。 - 强化监控：部署能够检测异常HTTP请求特征的WAF策略，针对包含异常字符的请求进行拦截。
- 资产盘点：利用自动化工具对现网中的NGINX组件进行全面资产梳理，确保没有遗漏的旧版本节点。
类似攻击近年来明显增加，自动化工具在漏洞发现层面的进化，也要求防御端必须加快响应速度与补丁管理节奏。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com