自查

• 影响范围的观点是，NGINX Open Source . ~ .官方修复边界是 . + 或 . +。
• 先自查这方面，nginx -v再扫配置里有没有 rewrite + $/$ +?后面还接 rewrite/if/set。
• 要不要升级这方面。只要版本低于修复边界，或者命中上面的危险配置，先升级。
• 至于有没有中招。生产上如果已经出现 worker 异常退出、core dumped无故重启，先按受影响处理；不确定就去隔离环境验证，
• 至于脚本覆盖，Debian/Ubuntu、RHEL/CentOS/Rocky/Alma/Oracle、Amazon Linux、SLES、Alpine；Fedora、Arch、openSUSE 等不在 nginx.org 官方二进制源支持列表里的程序，脚本会停下来让你手动确认。说起来，

自查脚本

nginx -v
sudo nginx -T> /tmp/nginx-all.conf
rg -n 'rewrite\s+.*\$\d+.*\?' /tmp/nginx-all.conf

修复步骤

1. 备份配置：

   sudo cp -a /etc/nginx /etc/nginx.bak.$

2. 安装基础依赖：

   sudo apt update
   sudo apt install curl gnupg ca-certificates lsb-release debian-archive-keyring -y
   

3. 添加 NGINX 官方主线源和签名 Key：

   curl https://nginx.org/keys/nginx_signing.key | gpg --dearmor | sudo tee /usr/share/keyrings/nginx-archive-keyring.gpg> /dev/null
   echo "deb https://nginx.org/packages/mainline/debian $ nginx" | sudo tee /etc/apt/sources.list.d/nginx.list
   echo -e "Package: *\
   Pin这方面，origin nginx.org\
   Pin的观点是。release o=nginx\
   Pin-Priority:
   " | sudo tee /etc/apt/preferences.d/99nginx
   

4. Apt 更新并安装 NGINX：

   sudo apt update
   apt-cache policy nginx
   sudo apt install nginx
   

5. nginx -v # 应显示 .x 或更高版本
   sudo systemctl restart nginx
   sudo systemctl status nginx --no-pager
   

修复脚本

NGINXKEYURL="https://nginx.org/keys/nginxsigning.key" NGINXAPKKEYURL="https://nginx.org/keys/nginx_signing.rsa.pub"

if;n echo "请用 root 运行：sudo sh $0" exit 1 fi

if;按理说，n echo "无法读取 /etc/os-release。先手动确认发行版" exit 1 fi

BACKUPDIR="/root/nginx-backup-$" mkdir -p "$BACKUPDIR" && cp -a /etc/nginx "$BACKUP_DIR/"

firestart_nginx { if command -v systemctl &&;n systemctl restart nginx && return fi if command -v rc-service && rc-service nginx restart || rc-service nginx start;n return，fi if command -v service && service nginx restart || service nginx start;n return，fi nginx -s reload>/dev/null || nginx }

version_ge { awk -v v="$1" -v min="$2" ' BEGIN { split;split，for;i++) { a+0，b+0;if exit，if exit } }' }

verifynginx { INSTALLED="$" if versionge "$INSTALLED" ".+";n echo "版本检查通过：$INSTALLED";else echo "仍低于修复边界，请检查来源或 backport 状态";exit 1，fi }

setupapt { OS=$1 KEYRINGPACKAGE=$2 CODENAME=${3:-$} apt-get update && apt-get install curl gnupg ca-certificates lsb-release $KEYRINGPACKAGE \ && curl $NGINXKEY_URL | gpg --dearmor>/usr/share/keyrings/nginx-archive-keyring.gpg \ && chmod 644 /usr/share/keyrings/nginx-archive-keyring.gpg \ && echo "deb https://ngin.org/packages/mainline/${OS} ${CODENAME} ngin" \

setuprhelfamily { PM=$ $PM install yum-utils ca-certificates curl \ && cat>/etc/yum.repos.d/${PM}-repo.repo KEYURL module_hotfixes=true

-mainline] name=ngin mainline repobaseurl=https://$NGINXKEYURL modulehotfixes=true gpgcheck=enabled=gpgkey=https://$NGINXKEY_URL

EOF }

case "$" in linux) ID=$)}' /etc/os-release);，*) ID="";，esac

case "${ID:-}" in debian|ubuntu) setupapt "${ID}" debian-archive-keyring;，rhel|centos|rocky|almalinux|oracle) setuprhelfamily;，amzn) setupamazon;，sles|sled|slessap) setupsles;，alpine) setup_alpine;，*) echo "暂未识别程序 ID=${ID:-unknown}，请按官方文档手动配置 mainline 源"; exit，;esac

verify_nginx

firestart_nginx

echo "完成，备份目录：${BACKUP_DIR}"

Nginx 漏洞编号是CVE‑2026‑42945。有时也被称为"NGINX Rift".

触发点不是所有 rewrite，而是这个组合

CVE‑2026‑42945 的触发条件非常具体：

• writes 模块中的 rewrite 指令使用未命名 PCRE 捕获;
•  替换字符串中包含问号 “?”，
.
•  该 rewrite 后面紧跟着另一个 rewrite、if 或 set 指令。
.
• 注意！仅满足以上四条才会触发堆缓冲区溢出。.
.
• 从举例来看，
.

• $ ngx_http_rewrite_module : server { listen :80;server_name _;location ~ ^/users//profile/$ { rewrite ^/users//profile/$ /profile.php?id=$1&tab=$2 last;set $marker，其实，return ok } }

• 真实项目里往往隐藏在老旧的 URL 重写规则或网关兼容层中。
.
• 如果你的应用曾经使用过类似“把方法 成查询字符串”的规则，那就一定要检查一下！.
.
• 注意 WordPress 等 CMS 的历史插件生成的重写片段，还有 ingress 控制器或面板自动生成的配置。话说回来，.
.
• 千万别误以为只要“有 rewrite 就危险”。这只是触发点的一部分，.
.

先扫配置

如果你在生产服务器上看到 Nginx worker 异常退出或无故重启，这很可能是 CVE‑2026‑42945 的症状！不要忽视它，下面给出第一步先快速排查的方法：

• ① 查看当前 Nginx 主版本 /usr/bin/env bash ninja`--version` - 在 Debian 上通常输出类似 `1.23.x`。若低于 `.+` 或 `.+` 则需要立即升级；否则继续检查配置，老实说，
• ② 扫描全部 `rewrite` 指令 bash sudo nginx –T> /tmp/all.conf rg –n 'rewrite\s+.*\$\d+.*\?' /tmp/all.conf - 此命令列出所有同时包含未命名捕获和问号的 `rewrite`。老实说，若返回为空，则说明你的配置不具备触发条件。
• ③ 对每个匹配项人工确认其后是否还有 `rewrite`、`if` 或 `set` 指令 - 通常会放在同一 `` 块内；若拆分到单独文件，需要展开完整配置后 检查。.
• 关键位置可主要关注： \ \ \ \ \ \ \

  位置类型	典型示例
  * 老站 URL 重写规则	`rewrite ^/$ …` 用于兼容旧方法，
  * 方法 为查询字符串	`rewrite ^/$ foo.php?bar=$1&baz=$2 last;.
  * 网关兼容层	`if { ... }.
  * CMS 插件遗留片段 \t\t\t\t\t\t\t\t\t\	`location ~* \\.php$ { ... }` 中的重写逻辑。\t \
  更多场景请参考官方安全公告与社区经验贴。\t \ \r \ \r \ \r \ \r \ \r \ \r \ \r \ \r \ \r \ \r ",","/tr>","

  " "
","

Your environment might already be affected even if you haven't noticed anything yet—worker crashes or unexpected restarts are common symptoms. —如果你正在维护多台服务器，可以考虑集中跑上述扫描脚本，一次性得到全网情况。其实，