18 сентября 2026 года в рассылке Debian LTS вышло уведомление DLA-4784-1 об обновлении nginx для Debian 12 bookworm. Три уязвимости исправлены в версии 1.22.1-9+deb12u10. Они связаны с аварийным завершением процесса, раскрытием памяти и при дополнительных условиях возможным выполнением кода.
Для сервера важна точная версия пакета: исправления перенесены в ветку 1.22.1, поэтому старый номер upstream сам по себе не означает отсутствие защиты.
Три ошибки затрагивают разные настройки
CVE-2026-42533 находится в механизме вычисления строковых выражений. Определённое сочетание map, захватов регулярного выражения или некэшируемых переменных может привести к переполнению буфера в куче. Рабочий процесс nginx способен аварийно завершиться.
Разработчик уточняет условия возможного выполнения кода: для этого ASLR должна быть отключена либо атакующему нужно обойти её защиту. Поэтому нельзя приписывать одинаковую возможность удалённого захвата каждому серверу с затронутым пакетом.
CVE-2026-56434 связана с повторным завершением HTTP-подзапроса и обращением к уже освобождённой памяти. В описанном сценарии одновременно используются SSI, proxy_pass и proxy_buffering off. Вендор дополнительно указывает необходимость управлять ответом upstream, например с позиции посредника между серверами.
CVE-2026-60005 затрагивает обработку захватов регулярных выражений. В определённых условиях она приводит к чтению неинициализированной памяти, ограниченной утечке данных или перезапуску процесса. В описании вендора фигурируют модуль slice, безымянные захваты и фоновое обновление кэша.
Эти условия нужны для оценки риска конкретной конфигурации. Они не заменяют обновление: правила сервера могут меняться, а проверять все комбинации вручную сложнее, чем установить поддерживаемую исправленную сборку.
Обновлять нужно пакет для bookworm
Проверьте полную версию установленного nginx и источник пакета. DLA-4784-1 относится к Debian 12 bookworm. Для trixie, контейнерного образа или сборки из репозитория nginx.org нужны соответствующие им пакеты и рекомендации.
В Debian 12 установите 1.22.1-9+deb12u10 либо более новую поддерживаемую сборку с этими исправлениями. Перед применением сохраните конфигурацию и проверьте, какие дополнительные модули загружает сервер.
После установки протестируйте конфигурацию и примените обновление службы по своему регламенту. Убедитесь, что новые рабочие процессы запущены из обновлённого бинарного файла. Обновлённый пакет на диске и продолжающий работать старый процесс не одно и то же.
Проверка после обновления
Откройте основные сайты и API, проверьте ответы upstream и журнал ошибок. Если используются SSI, slice или нестандартные правила map, уделите им отдельное внимание: именно эти части конфигурации связаны с описанными сценариями.
Текущий статус пакета для выпусков Debian публикуется в трекере безопасности nginx. При обслуживании нескольких машин сравнивайте полные версии, включая суффиксы Debian, а не только строку 1.22.1.
DLA-4784-1 закрывает три известных пути ошибки без смены основной ветки nginx в Debian 12. Для владельца сервера нормальное завершение работы здесь: исправленный пакет, обновлённые процессы и проверенные рабочие сайты.
Для следующего выпуска Debian есть отдельная заметка: исправление сборки модулей nginx в trixie.
