【紧急】Nginx潜伏18年漏洞！不用密码直接远程控制，30%服务器中招 | CVE-2026-42945 Nginx Rift漏洞。

[williamlouis]

1.升级 nginx 到 1.31 就可以了。（最简单方式）
2.通过 Fail2ban 2.4 改写规则 防御。被动解决。让AI写就可以了。
3.WAF 添加 一条规则：在「URL关键词拦截」输入框里添加两条：
添加规则：
类型：URI
条件：包含
值：%00
动作：拦截 / 返回 444

已经测试。三种方式都可以。

[terry]

这特么也值得发个帖子，有几个人能用到？

[williamlouis]

@terry 全球的30%。应该有中招的吧。目前对付费版的宝塔影响不大。其他的容器部署的躺了不少。有概率是这个漏洞。docker下的站点我都转移到宝塔了。今年年初开始针对 docker的攻击变的多了。

[Tony Wang]

看了一下, 这个和是否付费的版本无关, ngix 都有这个漏洞, 只是rewrite规则可能付费版本写得更加正规, 触发不了这个漏洞.

这个攻击和2000初期的apache chunk溢出非常类似. 所以任何对公众的服务, 尽量要用 nobody+noshell+隔离架构(docer或虚拟化) 来运行. 这样黑客只能盲操做, 安全性好很多.

[jenaflex]

用Cloudflare Tunnels的反代，和Nginx效果也差不多吧，躲在Cloudflare后面安全多了

[williamlouis]

@Tony-Wang 宝塔付费版有防火墙。在waf 固化机制下。这个漏洞无法进入更深层。免费版就躺了。

[Tony Wang]

理解了, 这是一个很好的安全机制.

[williamlouis]

@Tony-Wang 嗯。我用的是付费破解版。 GitHub 有开源项目。

[Tony Wang]

现在的网络安全，已经比 20 年前好太多了。硬核攻击已经很难奏效，更多是靠社会工程学，以及 1-day 之后的疏漏.

[williamlouis]

@Tony-Wang 你服务器太少。网站也少。被攻击是常态。被打进来了。也是常态。最有效的方式是备份。有防火墙后。我都不想看。一天就好几万。因为是多域名。被扫。被打。被入侵。固态防御就行了。反正它什么也干不了。
小技巧。不维护就给文件降权。特定就需要脚本了。给 AI 一点权限 让他把活干了。