Ubuntu在2026年10月26日发布USN-8955-1，集中修复Nginx的五项安全问题。受影响范围包含Ubuntu 22.04 LTS、24.04 LTS、26.04 LTS和26.10，但不同漏洞覆盖的版本并不完全相同。
运行Nginx反向代理或Web服务的Ubuntu服务器，应依据发行版和已安装软件包核对更新。不要只查看上游Nginx主版本号。
alias与map配置为何存在风险
CVE-2026-15176涉及alias与重写规则的特定组合，CVE-2026-93479涉及使用正则匹配的map指令。Ubuntu公告指出，远程攻击者可能借此导致Nginx崩溃，甚至执行任意代码。
风险依赖具体配置，但不能仅凭当前站点没有明显异常就排除。安全更新仍是官方给出的处理方式。
HTTP/3代理请求受到什么影响
CVE-2026-95101与启用proxy_request_buffering时对HTTP/3请求的处理有关，攻击者可能向代理请求注入数据。Ubuntu说明该问题只影响26.04 LTS和26.10。
没有启用HTTP/3或使用较早Ubuntu版本的服务器，不代表可以忽略公告中的其他漏洞。需要按每个CVE分别判断。
SSI和异步文件I/O有什么问题
CVE-2026-97205涉及部分SSI页面配置下的异步文件I/O处理。公告同样将潜在影响描述为远程触发崩溃或任意代码执行。
启用SSI的站点应检查配置与模块使用情况。临时停用功能可能减少暴露面，但不能替代安装修复包。
SSL会话票据漏洞边界在哪里
CVE-2026-97629出现在配置共享SSL会话缓存、但未显式轮换票据密钥的场景。远程攻击者可能伪造客户端SSL会话并绕过客户端证书验证；公告列出的影响版本是24.04 LTS、26.04 LTS和26.10。
使用双向TLS认证的入口应优先评估。证书文件未变更也不能证明会话票据处理没有风险。
各版本应该升级到哪里
Ubuntu列出的修复包包括26.10的1.30.4-7ubuntu1.1、26.04 LTS的1.28.3-2ubuntu1.12、24.04 LTS的1.24.0-2ubuntu7.19，以及22.04 LTS的1.18.0-6ubuntu14.22。标准系统更新会安装相应修复。
更新后应确认软件包版本并重新加载或重启Nginx进程。随后执行配置检查、业务请求及客户端证书验证测试，确保运行进程已使用修复后的二进制文件。
