目前，奇安信威胁情报中心安全研究员已成功复现NGINX ngx_http_rewrite_module 堆缓冲区溢出漏洞(CVE-2026-9256)，截图如下：

　　04处置建议>>>>

　　安全更新

　　官方已发布安全补丁，请及时更新至最新版本：NGINX Open Source 1.* >= 1.31.1NGINX Open Source 1.* >= 1.30.2NGINX Plus 37.* >= 37.0.1.1NGINX Plus R32 >= R32 P7NGINX Plus R36 >= R36 P5其他衍生组件（Instance Manager、WAF、Ingress Controller 等）：升级至已修复版本，或迁移到含修复的基础 NGINX 版本。下载地址：https://my.f5.com/manage/s/article/K000161377缓解措施：将所有受影响 rewrite 指令中未命名捕获组（$1、$2）替换为命名捕获组。易受攻击示例：

　　rewrite ^/users/([0-9]+)/profile/(.*)$ /profile.php?id=$1&tab=$2 last;

　　修复后示例：

　　rewrite ^/users/(?[0-9]+)/profile/(?

.*)$ /profile.php?id=$user_id&tab=$section last;

　　05参考资料

[1]https://my.f5.com/manage/s/article/K000161377[2]http://www.openwall.com/lists/oss-security/2026/05/22/14

　　

责编：崔金硕