教育数字化知识图谱

各二级 单位 ：

2026 年 5 月 13 日， NGINX 官方披露一批严重安全漏洞，其中 CVE － 2026 － 42945 （ CVSS 9.2 临界高危）为潜伏 18 年的远程代码执行漏洞，可导致未授权远程代码执行、服务器接管、数据泄露、服务瘫痪，影响全球大量业务系统。为保障我校网络安全，现将相关风险及升级要求通知如下。

一、 漏洞基本情况

漏洞编号： CVE － 2026 － 42945

影响组件： ngx ＿ http ＿ rewrite ＿ module （默认启用）

影响版本： 开源版： 0.6.27 ～ 1.30.0 ； NGINX Plus:R32 ～ R36

利用条件：无需认证、远程可触发、 POC 已公开。

危害：远程代码执行（ RCE ） Worker 进程崩溃、服务不可用 。

服务器被接管、数据窃取、植入后门，同批次还包含多个漏洞， 升级最新版本即可修复。

二、受影响资产排查

所有对外／对内提供 Web 服务的 NGINX 实例均需排查，包括但不限于：网站、门户、 信息系统 上所有 NGINX 。

三、紧急 修复建议

立即升级到官方修复版本

开源版： 1.30.1 或 1.31.0 ； NGINX Plus ： R36 P4 ／ R32 P6

升级后重启 NGINX 并验证服务正常，暂无法升级的，立即实施临时防护注释或修改 rewrite 规则，禁用未命名正确捕获（＄ 1 ／＄ 2 ＋？）组合。

信息中心

202 6 年 5 月 18 日