最安全可靠的做法是直接升级到官方已修复漏洞的版本，nginx不提供单独补丁，需用新版本源码完整替换旧二进制；cve-2026-27654影响webdav模块，须升至1.28.3+或1.29.7+，并禁用alias与copy/move共用配置。
直接升级到已修复漏洞的官方版本，是源码编译环境下最安全、最可靠的做法。Nginx 官方从不单独发布补丁文件，也不支持对旧版源码“打补丁”来修复 CVE（如 CVE-2026-27654 或 CVE-2021-23017）。所谓“启用带修复的组件”，本质是用新版本源码完整替换旧二进制，而非在原有代码上增删模块。
确认当前是否受影响
先快速判断风险：
- 运行
/usr/local/nginx/sbin/nginx -v查版本 - 对照官方公告（如 CVE-2026-27654 影响 WebDAV 模块，需 1.28.3+ 或 1.29.7+）
- 若版本在受影响范围内，立即进入升级流程
下载并编译已修复版本的源码
不要复用旧 configure 参数盲目重编，而是严格使用官方发布的修复版源码包：
- 从 nginx.org 下载对应修复版本（如
nginx-1.28.3.tar.gz） - 解压后进入目录，执行与原环境一致的 configure 命令（保留原有模块，如 ssl、http_v2、dav 等）
- 示例：
./configure --user=nginx --group=nginx --prefix=/usr/local/nginx \<br> --with-http_ssl_module --with-http_v2_module --with-http_dav_module \<br> --with-file-aio
- 执行
make && make install，仅替换二进制和默认模块，不覆盖 conf 和 html
关键动作：禁用高危组合，而非依赖模块开关
某些漏洞（如 CVE-2026-27654）由特定配置触发，即使启用了 dav 模块，只要不同时满足以下条件，风险可控：
- 配置中未启用
ngx_http_dav_module的 COPY/MOVE 方法 -
location中未混用alias与webdav_methods - 生产环境建议直接移除或注释掉
dav_methods行，除非业务强依赖 WebDAV
验证与加固同步落地
升级后必须做三件事：
- 运行
nginx -t确认语法无误 - 执行
nginx -s reload平滑生效，零中断 - 在
http块中添加server_tokens off;，隐藏版本号，降低指纹识别风险
不复杂但容易忽略
