事件概览：NGINX核心引擎的深层危机
近期，安全研究团队披露了一个名为“NGINX Rift”的重大安全漏洞（CVE-2026-42945），其CVSS v4评分高达9.2。令人震惊的是，该漏洞存在于NGINX的核心代码库中长达18年之久。由于NGINX作为全球互联网基础设施的核心，广泛应用于反向代理、负载均衡及Ingress控制器，其攻击面覆盖极其广泛。从我们的应急响应经验来看，这种底层组件的长期漏洞一旦被公开，往往会成为攻击者重点关注的目标。
漏洞技术解析：为什么是“Rift”？
NGINX Rift的本质是一个堆缓冲区溢出漏洞，存在于ngx_http_rewrite_module模块中。这一环节是很多企业配置NGINX时容易忽视的逻辑盲点。
漏洞触发的根本原因在于NGINX处理重写（rewrite）指令时的逻辑差异：当配置中结合使用未命名的PCRE捕获组（如$1, $2）与包含问号（?）的替换字符串时，脚本引擎会产生错误的长度计算。
具体来说，当替换字符串中出现问号时，引擎会触发一个内部转义标志，但在随后的长度计算阶段，程序切换到了另一个子引擎，该引擎并不考虑URI转义，导致计算出的缓冲区大小与实际写入需求不匹配。由于攻击者可以直接通过构造URI来控制溢出内容，这种“可控形状”的内存破坏极大地提升了远程代码执行（RCE）的成功率。
影响范围与潜在威胁
该漏洞影响了多个版本的NGINX Open Source及NGINX Plus，同时也波及了包括NGINX Ingress Controller、App Protect WAF等在内的多种F5生态产品。
从我们的溯源分析来看，类似攻击近年来明显增加。对于攻击者而言，无需身份验证即可触发该漏洞，这意味着任何暴露在公网上的受影响服务器都处于高危状态。即使在开启ASLR（地址空间布局随机化）的现代系统中，攻击者也可以通过重复发送请求触发Worker进程崩溃，从而导致严重的拒绝服务（DoS）攻击，影响业务的持续可用性。
安全建议与Solar实战经验
面对此类核心组件漏洞，我们建议采取以下分步处置策略：
优先升级：这是最根本的解决之道。请受影响用户尽快将NGINX Open Source升级至1.30.1或1.31.0版本，NGINX Plus用户请根据版本更新至对应的补丁版本。升级完成后，务必重启NGINX服务以确保新二进制文件生效。
紧急规避：如果短期内无法完成升级，可以采取临时配置修复方案。该漏洞仅在结合使用“未命名捕获组”与“包含问号的替换字符串”时触发。建议将配置中的未命名捕获组（$1）替换为命名捕获组（如?），即可绕过漏洞触发路径。
关注关联风险：本次披露还伴随了CVE-2026-42946（内存分配溢出）、CVE-2026-40701（use-after-free）等多个漏洞。在进行应急加固时，应同步检查相关模块配置，确保整体Web环境的安全水位。
在实际业务场景中，很多企业往往因为缺乏对底层中间件配置的深度梳理，而导致即使有补丁也无法快速评估影响范围。Solar团队建议企业定期进行资产清点与配置审计，以应对此类潜伏已久的底层风险。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com