> Список всех страниц есть в [llms.txt](https://kupivps.com/llms.txt). Эта страница на сайте: https://kupivps.com/news/kriticheskaya-uyazvimost-v-nginx-s-http-3-vozmozhno-udalennoe-vypolnenie-koda-cve-2026-42530

# Критическая уязвимость в NGINX с HTTP/3: возможно удалённое выполнение кода

В модуле ngx_http_v3_module найдена уязвимость use-after-free. При отключённом ASLR атакующий может выполнить код на сервере. Проверьте, включён ли у вас HTTP/3, и обновите NGINX.

_Безопасность · 26 октября 2026 · severity: critical · CVE-2026-42530_

## Что случилось

В модуле HTTP/3 QUIC (ngx_http_v3_module) обнаружена уязвимость класса use-after-free. Злоумышленник, установив специально сформированную HTTP/3-сессию, может принудительно переоткрыть поток QPACK-кодировщика. Это приводит к повреждению памяти в рабочем процессе NGINX.
Последствия зависят от настроек системы:

- При стандартной конфигурации — аварийная перезагрузка воркера (отказ в обслуживании)
- При отключённом ASLR или при успешном его обходе — удалённое выполнение произвольного кода
Уязвимости присвоен идентификатор CVE-2026-42530. Версии NGINX, вышедшие из поддержки, не проверялись.

## Кого касается

Проблема актуальна только при одновременном выполнении условий:

- Используется NGINX Open Source с включённым модулем http_v3_module
- В конфигурации активирован HTTP/3 (QUIC)
Если вы используете стабильную ветку без экспериментальных функций или HTTP/3 отключён — угрозы нет. Проверьте наличие директив `listen ... quic` и `http3` в конфигурации.

## Что делать

**1. Обновите пакет**
Установите свежую версию из репозитория разработчика или системного пакетного менеджера:

- Ubuntu/Debian: `apt update && apt upgrade nginx`
- RHEL/CentOS/AlmaLinux: `dnf update nginx`
- Arch: `pacman -Syu nginx`
**2. Проверьте версию**
Убедитесь, что установлена исправленная сборка:
`nginx -v`
Актуальные версии с патчем указаны на [nginx.org](https://nginx.org/) и в репозиториях дистрибутивов.
**3. Временное решение (если обновление невозможно)**
Отключите HTTP/3, убрав параметр `quic` из директивы listen и директиву `http3`. Перезагрузите конфигурацию:
`nginx -t && nginx -s reload`
ASLR включён по умолчанию в большинстве современных дистрибутивов и снижает риск эксплуатации до отказа в обслуживании.

Источник: https://nvd.nist.gov/vuln/detail/CVE-2026-42530