Безопасность CRITICAL CVE-2026-42530

Критическая уязвимость в NGINX с HTTP/3: возможно удалённое выполнение кода

26 октября 2026 · Редакция KupiVPS

Что случилось

В модуле HTTP/3 QUIC (ngx_http_v3_module) обнаружена уязвимость класса use-after-free. Злоумышленник, установив специально сформированную HTTP/3-сессию, может принудительно переоткрыть поток QPACK-кодировщика. Это приводит к повреждению памяти в рабочем процессе NGINX.

Последствия зависят от настроек системы:

При стандартной конфигурации — аварийная перезагрузка воркера (отказ в обслуживании)
При отключённом ASLR или при успешном его обходе — удалённое выполнение произвольного кода

Уязвимости присвоен идентификатор CVE-2026-42530. Версии NGINX, вышедшие из поддержки, не проверялись.

Кого касается

Проблема актуальна только при одновременном выполнении условий:

Используется NGINX Open Source с включённым модулем http_v3_module
В конфигурации активирован HTTP/3 (QUIC)

Если вы используете стабильную ветку без экспериментальных функций или HTTP/3 отключён — угрозы нет. Проверьте наличие директив listen ... quic и http3 в конфигурации.

Что делать

1. Обновите пакет

Установите свежую версию из репозитория разработчика или системного пакетного менеджера:

Ubuntu/Debian: apt update && apt upgrade nginx
RHEL/CentOS/AlmaLinux: dnf update nginx
Arch: pacman -Syu nginx

2. Проверьте версию

Убедитесь, что установлена исправленная сборка:

nginx -v

Актуальные версии с патчем указаны на nginx.org и в репозиториях дистрибутивов.

3. Временное решение (если обновление невозможно)

Отключите HTTP/3, убрав параметр quic из директивы listen и директиву http3. Перезагрузите конфигурацию:

nginx -t && nginx -s reload

ASLR включён по умолчанию в большинстве современных дистрибутивов и снижает риск эксплуатации до отказа в обслуживании.

Источник: NVD