> Список всех страниц есть в [llms.txt](https://kupivps.com/llms.txt). Эта страница на сайте: https://kupivps.com/news/kriticheskaya-uyazvimost-v-nginx-udalennoe-vypolnenie-koda-i-dos-cve-2026-42533

# Критическая уязвимость в NGINX: удалённое выполнение кода и DoS

В NGINX Plus и Open Source обнаружена уязвимость CVE-2026-42533, позволяющая неаутентифицированным атакующим вызвать отказ в обслуживании или выполнить код на сервере. Проблема связана с использованием регулярных выражений в директиве map.

_Безопасность · 4 ноября 2026 · severity: critical · CVE-2026-42533_

## Что случилось

В веб-сервере NGINX выявлена опасная уязвимость CVE-2026-42533, которая при определённых условиях приводит к переполнению кучи (heap buffer overflow). Проблема возникает при использовании директивы `map` с регулярными выражениями, когда в строковом выражении сначала идёт обращение к переменным захвата регулярки, а потом уже к выходной переменной самой карты. Аналогичный эффект возможен при использовании некэшируемых переменных в строковых выражениях.
Атакующий может отправить специально сформированный HTTP-запрос и вызвать аварийную перезагрузку рабочего процесса NGINX. В худшем случае — при отключённом ASLR или при возможности его обхода — уязвимость позволяет выполнить произвольный код на сервере. Проблема затрагивает только плоскость данных (data plane), управляющий интерфейс (control plane) не подвержен.

## Кого касается

Уязвимость актуальна для:

- Владельцев серверов с NGINX Plus и NGINX Open Source
- Систем, где в конфигурации используется директива `map` с регулярными выражениями в нестандартном порядке переменных
- Серверов с отключённым ASLR — на них выше риск выполнения кода (DoS возможен в любом случае)
Версии NGINX, достигшие End of Technical Support (EoTS), не получат исправлений.

## Что делать

**1. Проверьте версию NGINX:**
nginx -v Сверьтесь со списком исправленных версий на [официальном сайте NGINX](https://nginx.org/) или в репозитории вашей ОС.
**2. Обновите пакет через систему управления:**

- Для Debian/Ubuntu: `sudo apt update && sudo apt upgrade nginx`
- Для RHEL/CentOS/AlmaLinux/Rocky Linux: `sudo yum update nginx` или `sudo dnf update nginx`
- Для пользователей NGINX Plus — обновление через официальный репозиторий F5
После обновления проверьте конфигурацию командой `sudo nginx -t` и перезапустите службу: `sudo systemctl restart nginx`.
**3. Временное решение (если обновление невозможно):**

- Проверьте конфигурацию командой `grep -r "map" /etc/nginx/` на наличие директив с регулярными выражениями
- Если найдены сложные конструкции с `map` — временно отключите их или упростите до установки патча
- Настройте ограничение частоты запросов (rate limiting) для снижения риска
**4. Дополнительные меры:**

- Проверьте статус ASLR: `cat /proc/sys/kernel/randomize_va_space`. Если вывод не "2", включите (требуется root, действует до перезагрузки): `sudo sh -c 'echo 2 > /proc/sys/kernel/randomize_va_space'`. Для постоянного включения добавьте в `/etc/sysctl.conf`: `kernel.randomize_va_space = 2`
- Настройте мониторинг на перезапуски рабочих процессов NGINX
- Используйте WAF для фильтрации аномальных HTTP-запросов

Источник: https://nvd.nist.gov/vuln/detail/CVE-2026-42533