银河麒麟下Nginx 高危漏洞修复：升级至 1.30.2（附 RPM 安装包）

nginx发布最新安全更新1.30.2，修复多个高危漏洞，其中最受关注的是：
* CVE-2026-42945
* CVE-2026-9256

漏洞主要存在于：
ngx_http_rewrite_module
常见的：
* rewrite
* if
* set
* URL 重写等功能模块。

本次漏洞影响范围非常广。

一、漏洞影响

官方说明显示：
漏洞可能导致：
* Worker 进程崩溃
* 堆内存溢出
* DoS 攻击
* 特殊情况下远程代码执行（RCE）

并且：
攻击无需登录即可触发
攻击者仅通过构造恶意 HTTP 请求即可利用漏洞。

二、受影响版本

受影响版本：
0.6.27 ～ 1.30.0
官方修复版本：
1.30.1 1.30.2
其中：1.30.2是当前 Stable 最新修复版本。

三、为什么升级到 1.30.2

相比 1.30.1：

1.30.2进一步修复了：CVE-2026-9256，因此建议直接升级到：nginx 1.30.2避免后续再次升级。

四、RPM 安装包说明
为了方便国产化及离线环境升级，博客编译了以下 RPM：
nginx-1.30.2-1.ky10.x86_64.rpm
nginx-1.30.2-1.ky10.aarch64.rpm
适用于：
* 银河麒麟 V10 X86_64 ARM64环境。

五、升级步骤

X86:
rpm -Uvh nginx-1.30.2-1.ky10.x86_64.rpm
ARM：
rpm -Uvh nginx-1.30.2-1.ky10.aarch64.rpm

启动：

systemctl start nginx

6. 验证版本

[root@cikeblog ~]# /app/nginx/sbin/nginx -V
nginx version: nginx/1.30.2
built by gcc 7.3.0 (GCC)
built with OpenSSL 1.1.1f  31 Mar 2020
TLS SNI support enabled
configure arguments: --prefix=/app/nginx --sbin-path=/app/nginx/sbin/nginx --conf-path=/app/nginx/conf/nginx.conf --pid-path=/app/nginx/logs/nginx.pid --lock-path=/app/nginx/logs/nginx.lock --error-log-path=/app/nginx/logs/error.log --http-log-path=/app/nginx/logs/access.log --http-client-body-temp-path=/app/nginx/temp/client_body_temp --http-proxy-temp-path=/app/nginx/temp/proxy_temp --http-fastcgi-temp-path=/app/nginx/temp/fastcgi_temp --http-uwsgi-temp-path=/app/nginx/temp/uwsgi_temp --http-scgi-temp-path=/app/nginx/temp/scgi_temp --with-http_ssl_module --with-http_v2_module --with-http_realip_module --with-http_gzip_static_module --with-http_gunzip_module --with-http_sub_module --with-http_stub_status_module --with-http_slice_module --with-threads --with-file-aio --with-ipv6 --without-mail_pop3_module --without-mail_imap_module --without-mail_smtp_module --without-http_fastcgi_module --with-cc-opt='-O2 -g -pipe -Wall -Wp,-D_FORTIFY_SOURCE=2 -fexceptions -fstack-protector-strong --param=ssp-buffer-size=4 -grecord-gcc-switches' --with-ld-opt='-Wl,-z,relro -Wl,-z,now'

建议检查是否存在复杂 rewrite 规则：

grep -R "rewrite" /etc/nginx/
重点关注：
rewrite
if
set
$1
$2

等正则捕获规则。

七、总结

本次 Nginx 漏洞具有：

* 影响范围广
* 利用门槛低
* rewrite 默认常用
* 存在 RCE 风险
等特点。

因此：升级到 nginx 1.30.2 已经非常有必要。