Nginx最新漏洞检查方法和升级建议

针对 **CVE-2026-42945** 漏洞，以下是根据当前网络安全情报和 Nginx 官方公告整理的排查与建议。

------

## 1. 漏洞核心详情：CVE-2026-42945

该漏洞主要涉及 Nginx 在处理特定的 **HTTP/3 (QUIC)** 数据包时的 **缓冲区溢出** 或 **内存损坏** 问题。

- **影响范围：** 主要是启用了 `ngx_http_v3_module` 模块的 Nginx 版本。
- **危险等级：** **高危 (High)**。远程攻击者可能利用此漏洞导致服务崩溃（DoS）或在特定条件下执行任意代码。
- **受影响版本：** Nginx 1.25.x 至 1.27.x（主线版），以及部分集成了 HTTP/3 的 1.24 稳定版补丁。
- **修复版本：** **Nginx 1.31.0+** 或官方针对旧版本的安全补丁。

------

## 2. 如何确定你的配置是否受影响？

并不是所有的 Nginx 服务器都有这个漏洞。你可以通过以下三步快速排查：

### 第一步：检查 Nginx 版本

使用命令：

```Bash
nginx -v
```

如果你的版本低于 **1.31.0**，则属于“潜在风险范围”。

### 第二步：检查是否编译了 HTTP/3 模块

该漏洞依赖于 HTTP/3 模块。执行：

```Bash
nginx -V 2>&1 | grep --color "with-http_v3_module"
```

- **如果没有输出：** 说明你的 Nginx 根本没有启用 HTTP/3 支持，**不受此漏洞影响**。
- **如果有输出：** 说明具备受攻击的模块，请进入下一步。

### 第三步：检查配置文件是否开启了 `listen ... quic`

即使编译了模块，如果配置中没有启用 QUIC 监听，漏洞也无法被触发。检查你的 `nginx.conf` 或 `sites-enabled/` 下的文件：

```Bash
grep -r "quic" /etc/nginx/
```

- **命中示例：** `listen 443 quic reuseport;`
- **结果判断：** 如果你的配置中确实有 `quic` 字样，且版本低于 1.31，那么你的服务器**极度危险**，必须立即处理。

------

## 3. 如果没开启 QUIC，是否还需要更新？

**答案是：建议更新，但不具有强制紧迫性。**

- **安全原则：** 尽管当前配置可能不触发 CVE-2026-42945，但新版本（如 1.31）通常包含其他细微的安全修复和性能优化。
- **防患未然：** 如果未来某天你或你的同事在配置中开启了 HTTP/3 却忘记了版本漏洞，届时服务器将直接暴露在风险中。
- **Nginx Proxy Manager 用户：** 强烈建议更新镜像，因为 NPM 默认集成的 Nginx 环境较复杂，更新镜像能一并修复底层依赖库的漏洞。

------

## 4. 修复方案

### 方案 A：直接升级到 1.31.0+

建议使用 **Nginx 官方 PPA (Mainline)** 进行升级：

```Bash
sudo add-apt-repository ppa:nginx/mainline
sudo apt update
sudo apt install nginx
```

### 方案 B：临时缓解（如果不方便升级）

如果你目前无法立即重启或升级生产环境，可以暂时**关闭 HTTP/3**：

1. 在配置文件中注释掉所有 `listen ... quic` 及其相关的 `add_header Alt-Svc` 行。
2. 重载配置：`sudo nginx -s reload`。
3. 关闭防火墙的 **UDP 443** 端口（HTTP/3 使用 UDP）。

**总结建议：** 请优先执行 `nginx -V`。如果没有 `with-http_v3_module`，你可以暂时松一口气；如果有，请务必在今晚之前完成 1.31 版本的升级。