事件背景与影响分析
近日，F5 官方发布安全通告，披露了针对 Nginx 的一项高危漏洞，代号为“Nginx-poolslip”（CVE-2026-9256）。该漏洞存在于 Nginx 广为使用的 ngx_http_rewrite_module 模块中。
从我们的应急响应经验来看，Nginx 作为互联网基础设施中占比极高的反向代理与 Web 服务器，其底层模块的漏洞往往具有极高的传染性与破坏力。本次漏洞被评定为高危（CVSS v3.1 评分 8.1），在某些复杂环境下，甚至被认为具有达到严重级别的潜力（CVSS v4.0 评分 9.2）。受影响范围涵盖了 Nginx 开源版（1.0.0 至 1.30.1）及 Nginx Plus 等多个版本，同时涉及 Nginx Ingress Controller 等关联产品，互联网暴露面的风险不容小觑。
技术手法与攻击链解析
Nginx-poolslip 的核心成因在于对 PCRE（Perl 兼容正则表达式）捕获组处理不当。当 Nginx 配置文件中使用了存在歧义的正则表达式（例如包含重叠的捕获组），并配合多个反向引用（如 $1$2）时，会引发内存堆溢出（CWE-122）。
攻击者无需任何身份验证，仅需发送精心构造的 HTTP 请求，即可触发 Nginx 工作进程的内存损坏。这种溢出可能直接导致工作进程崩溃，从而引发拒绝服务（DoS）；若攻击者技术手段高超，在绕过系统内存保护机制（如 ASLR）的情况下，甚至可能实现远程代码执行。
这一环节是很多企业容易忽视的
在过往的运维审计中，我们发现很多开发人员为了追求灵活性，习惯在 rewrite 规则中使用未命名的捕获组。这种写法虽然简洁，但在面对复杂 URL 路由时，极易产生逻辑歧义。
例如，类似 rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last; 的写法，就是本次漏洞的温床。相比之下，使用命名捕获组（如 (?<user_id>[0-9]+)）不仅能提升配置的可读性和维护性，更重要的是，它能有效规避这种不安全的内存操作，从根源上阻断攻击链路。
安全建议与 Solar 经验
针对此次漏洞，Solar 应急响应团队建议各企业单位采取以下行动：
首先，立即排查业务系统版本。对于 Nginx 开源版，请尽快升级至 1.30.2 或 1.31.1 及以上版本；Nginx Plus 用户请更新至 37.0.1.1。
其次，进行配置审计。全面梳理现有的 rewrite 规则，检查是否存在未命名的重叠正则表达式捕获组。一旦发现，务必将其替换为命名捕获组。
最后，强化监控与防护。在完成修复前，应在 WAF 或入侵检测系统中配置针对异常请求的拦截策略，重点监测频繁触发工作进程崩溃的异常流量。对于生产环境，建议保持系统内存保护机制（如 ASLR）的开启状态，以增加攻击者的利用难度。
类似这种针对基础中间件的漏洞利用近年来明显增加，企业应建立更完善的漏洞生命周期管理机制，确保在漏洞披露后的第一时间完成响应。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com