直接升级到官方修复版本（如1.30.1+）是唯一有效方案；cve-2026-42945影响0.6.27~1.30.0全版本，源于rewrite模块堆溢出，可致dos或rce，需通过nginx -v确认版本并严格按编译参数平滑升级。
直接升级到官方已修复漏洞的版本，是唯一有效的解决方式。隐藏版本号、修改响应头或加WAF规则，都不能消除底层代码缺陷带来的风险。
确认当前版本是否受影响
运行命令查看实际版本：
- nginx -v：只显示简略版本号（如 nginx/1.28.0）
- nginx -V：输出完整编译参数，用于后续复现配置
将版本号与 Nginx 官方安全公告 对照。重点关注 CVE-2026-42945（NGINX Rift）、CVE-2022-41741 等高危漏洞的受影响范围。例如：1.22.0 至 1.30.0 全部受 CVE-2026-42945 影响，必须升至 1.30.1 或更高。
准备编译环境与依赖
源码编译前需确保系统具备基础工具链和关键库：
- 安装 GCC 编译器：yum install -y gcc-c++（CentOS/RHEL）或 apt install -y build-essential（Ubuntu/Debian）
- 安装正则支持：yum install -y pcre pcre-devel
- 安装压缩支持：yum install -y zlib zlib-devel
- 安装 TLS 支持：yum install -y openssl openssl-devel
缺少任一依赖，./configure 都会报错，且可能在运行时导致模块不可用（如 rewrite 失效、HTTPS 握手失败）。
下载、编译并平滑替换二进制文件
不覆盖配置、不停机是关键原则：
- 从 nginx.org/download 下载目标修复版（如 nginx-1.30.1.tar.gz），解压后进入目录
- 用 nginx -V 输出的
--with-xxx参数复现旧编译选项（如--with-http_ssl_module --with-http_v2_module），避免模块缺失 - 执行 make（不要 run
make install），新二进制位于objs/nginx - 备份旧二进制：cp /usr/local/nginx/sbin/nginx /usr/local/nginx/sbin/nginx.bak
- 发送 USR2 信号启动新 master 进程：kill -USR2 $(cat /usr/local/nginx/logs/nginx.pid)
- 替换二进制：mv objs/nginx /usr/local/nginx/sbin/nginx
- 发送 WINCH 关闭旧 worker，再用 QUIT 退出旧 master，完成切换
验证与回滚准备
升级后必须验证三项：
- 版本正确：nginx -v 显示目标版本（如 nginx/1.30.1）
- 配置可用：nginx -t 返回 “syntax is ok” 和 “test is successful”
- 服务正常：curl 测试首页、HTTPS 接口、rewrite 规则等核心业务路径
若异常，立即执行回滚：cp /usr/local/nginx/sbin/nginx.bak /usr/local/nginx/sbin/nginx && nginx -s reload。所有操作前务必备份 /usr/local/nginx/conf 和 logs 目录。
