Nginx 高危漏洞 CVE-2026-42945 曝光

z145221

  作为应用领域普及率很高的 Web 组件，Nginx 被大量部署在政企、金融、工业互联网、智算平台，大量用于 Web 服务、API 网关、K8s 容器 Ingress 等主要业务链路。漏洞消息一出，众多运维与安全团队迅速启动资产排查与应急评估。

  在实际处置过程中，很多企业面临明显的两难困境：直接升级后端 Nginx 版本，需要申请业务变更窗口、完成配置兼容性测试，大规模集群的修复周期很长；如果不做前置防护，攻击载荷可以直达后端服务，在补丁落地前，业务始终暴露在攻击风险之下。单纯依靠主机防护、后端补丁修复，很难形成即时有效的隔离屏障。

  对此，鸬鹚科技提出，面对开源组件频发的高危漏洞，防护思路应当从 “被动等待补丁” 转向 “前置流量隔离”。

  鸬鹚高维 ADC 部署在业务流量入口，单独于后端 Nginx 集群，作为统一的流量调度与安全网关：

自研可编程 WAF 安全引擎，支持快速下发专项防护规则，准确识别 CVE-2026-42945 漏洞对应的畸形请求、溢出攻击载荷，恶意流量在抵达后端 Nginx 之前完成拦截阻断，先给业务拉起安全缓冲带，为版本迭代、补丁测试争取充足时间；

完整的应用交付调度能力，支持七层负载均衡、GSLB 多中心灾备、K8s 云原生 Ingress 适配、GPU 算力动态调度，调度性能对标国际前瞻产品；

安全与调度一体化融合，兼顾业务转发稳定性与攻击拦截能力，同时适配等保三级、密评等国内关键行业合规要求；

多形态交付能力，支持硬件、虚拟化、云原生部署，适配电力、金融、**事务事务、AI 算力集群等多样化场景。

  云原生与 AI 业务快速发展的当下，API、Web、智算流量持续增长，应用入口已经成为攻防对抗的主要阵地。业务架构的稳定性、安全可控能力，越来越成为基础设施选型的主要考量。鸬鹚科技建议各单位尽快梳理线上暴露的 Nginx、OpenResty、Ingress 资产，开展风险自查，优先在流量入口搭建单独的应用交付安全能力，构建 “前置拦截、流量调度、持续观测、事后溯源” 的闭环防护体系。

  行业背景补充： Nginx 母公司 NGINX, Inc. 已于 2019 年被 F5 收购，自此产品路线分化为商业版 NGINX Plus 与开源社区版两条主线。国内大量业务使用开源 Nginx 衍生版本，并不在 F5 商业版本的统一运维保障体系内，补丁推送、风险响应都需要用户自主负责；同时海外商用方案在供应链自主可控、国内合规场景落地中，也存在一定约束。