2026年5月，网络安全研究人员Mufeed VH（Winfunc Research）、Nebula Security和Vexera AI联合披露了影响nginx及NGINX Plus的严重漏洞CVE-2026-9256。该漏洞存在于nginx的rewrite模块中，可导致堆缓冲区溢出，在特定条件下可能导致代码执行。
事件概述
CVE-2026-9256影响nginx的ngx_http_rewrite_module模块。当rewrite指令使用具有明显重叠的PCRE捕获组的正则表达式（例如^/((.*))$），且替换字符串引用了多个这样的捕获组（例如$1$2）时，可能触发堆缓冲区溢出。
F5（nginx的开发商）确认，未经认证的攻击者在符合特定条件的情况下，可通过发送特制HTTP请求利用该漏洞。这可能导致nginx worker进程崩溃重启，在关闭ASLR或攻击者能够绕过ASLR的系统上，可能导致代码执行。
技术细节
漏洞原理
该漏洞的根本原因在于当rewrite指令处理具有重叠捕获组的正则表达式时，内部内存处理不正确。当替换字符串引用了多个重叠捕获组时，内部缓冲区的大小计算可能出现偏差，导致堆缓冲区溢出。
影响版本包括：
- nginx Open Source: 0.1.17 – 0.9.7, 1.30.0 – 1.30.1, 1.31.0
- NGINX Plus: R32（修复前）、R36（修复前）、R37（修复前）
CVSS评分
| 版本 | 分数 | 严重级别 | 向量 |
|---|---|---|---|
| CVSS 4.0 | 9.2 | Critical | CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| CVSS 3.1 | 8.1 | High | CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H |
注意到CVSS 4.0评分为9.2（Critical），但攻击复杂度较高（AC:H），且需要特定的配置条件才能触发。
影响评估
利用条件
该漏洞的利用需要同时满足以下条件：
- nginx配置中使用了rewrite指令
- 正则表达式中存在重叠的捕获组
- 替换字符串引用了多个这样的捕获组
- 处于重定向或参数上下文中
虽然利用条件较为严格，但nginx作为全球最广泛使用的Web服务器之一，任何其中的严重漏洞都可能影响大量互联网基础设施。
实际危害
- 堆缓冲区溢出导致worker进程崩溃和重启
- 在ASLR关闭的系统上可能导致代码执行
- 可能被用于拒绝服务攻击
修复建议
官方补丁
F5已发布了修复版本：
- nginx Open Source: 升级至1.31.1或更高版本
- NGINX Plus R32: 应用R32 P7或更高版本
- NGINX Plus R36: 应用R36 P5或更高版本
- NGINX Plus R37: 应用R37.0.1.1或更高版本
临时缓解
若无法立即升级，可考虑以下临时措施：
- 检查nginx配置文件中的rewrite指令，确认是否使用了重叠捕获组
- 重写正则表达式，避免使用明显重叠的捕获组
- 在反向代理前置WAF，过滤可疑的HTTP请求
检测方法
- 检查nginx版本号是否在受影响范围内
- 检查配置文件中是否存在重叠捕获组的rewrite规则
- 监控nginx worker进程的异常重启