16 сентября 2026 года AlmaLinux выпустил уведомление ALSA-2026:67283 для модульного потока nginx:1.26 в AlmaLinux 9. Обновление безопасности с важностью Moderate закрывает CVE-2026-42533, ошибку обработки специально подготовленных HTTP-запросов.
Для администратора важны сразу дистрибутив, активный поток и происхождение пакета. Исправление AlmaLinux нужно искать в её репозиториях, а состояние собственного nginx сравнивать с карточкой errata. Одного вывода «у нас nginx 1.26» для решения недостаточно.
Что позволяет CVE-2026-42533
По описанию разработчика в CVE, ошибка возникает при определённых сочетаниях map, регулярных выражений и переменных. Один из вариантов связан с обращением к захватам регулярного выражения до обращения к результату map. Другой требует определённого поведения некэшируемой переменной.
Специальный запрос может вызвать переполнение буфера в куче рабочего процесса nginx и его перезапуск. Возможное выполнение кода имеет дополнительное условие: ASLR отключена либо атакующий сумел её обойти. ASLR затрудняет предсказание расположения данных в памяти.
Поэтому краткая формулировка про выполнение произвольного кода не означает одинаковую возможность захвата любого nginx по одному запросу. Конфигурация и защита процесса влияют на последствия. Но возможность аварийного завершения рабочего процесса уже достаточна, чтобы не откладывать исправление.
Что проверить перед обновлением
Уточните установленную версию пакета, его репозиторий и выбранный модульный поток. На сервере могут одновременно встречаться системный nginx, сторонний пакет и контейнерная сборка, а обновляться они будут разными способами.
Для потока nginx:1.26 на AlmaLinux 9 примените обновление из штатного репозитория, сверившись с ALSA-2026:67283. Не переключайте поток только потому, что номер upstream-релиза выглядит старее: дистрибутив может перенести исправление в свою поддерживаемую сборку.
Перед применением сохраните конфигурацию и проверьте её синтаксис. После обновления убедитесь, что рабочие процессы действительно используют обновлённый бинарный файл, а не только что новый пакет появился на диске. Перезагрузку или перезапуск службы планируйте с учётом принятой схемы обслуживания.
После установки пакета
Проверьте основные виртуальные хосты, проксирование и журналы ошибок. Если используются собственные модули, отдельно убедитесь в их совместимости с обновлённым пакетом. На нескольких серверах полезно сравнить полные версии пакетов, чтобы один узел не остался на старой сборке.
Ручное упрощение правил map может затронуть маршрутизацию и не покрыть другой вариант ошибки. Штатный пакет с исправлением остаётся основным способом устранения CVE-2026-42533.
ALSA-2026:67283 позволяет закрыть уязвимость внутри поддерживаемого потока AlmaLinux 9. Главное здесь не переход на самый новый nginx, а установка исправленной сборки для конкретного сервера и проверка её фактического запуска.
В Debian последствия переноса того же исправления разобраны отдельно: обновление nginx-dev после регрессии сборки.
