Уязвимости nginx касаются не только сайтов на 1С-Битрикс. Проблема находится на уровне веб-сервера nginx, который может использоваться в разных проектах: 1С-Битрикс, WordPress, Laravel, Symfony, Django, Node.js, Docker, Kubernetes, reverse proxy и API-gateway.

1С-Битрикс оказался в фокусе внимания потому, что nginx входит в состав VMBitrix, а для этой платформы был выпущен пакет bx-nginx 1.30.2. Но если уязвимая версия nginx установлена в другой инфраструктуре, её также нужно проверять и обновлять.

Основная задача администратора — найти все серверы, контейнеры и прокси, где используется nginx, проверить версию, конфигурации и обновить веб-сервер до исправленной версии.

1. Найти все серверы, контейнеры и прокси, где используется nginx.
2. Проверить версию nginx и параметры сборки.
3. Проверить конфигурации на rewrite, HTTP/2 proxy, OCSP, HTTP/3, uwsgi, scgi и charset_map.
4. Обновить nginx через доверенный репозиторий или официальный образ.
5. Проверить конфигурацию командой nginx -t.
6. Перезапустить nginx.
7. Проверить сайт, API, редиректы, оплату, авторизацию и интеграции.
8. Посмотреть логи nginx после обновления.
9. Настроить временные меры защиты, если обновление нельзя выполнить сразу.

Начните с инвентаризации. Частая ошибка — обновить основной сайт и забыть про тестовые домены, старые виртуальные хосты, API, staging-серверы, Docker-контейнеры или внутренние прокси.

Проверьте, установлен ли nginx на сервере:

which nginx

Проверьте, запущен ли сервис nginx:

systemctl status nginx

Проверьте процессы nginx:

ps aux | grep nginx

Проверьте открытые порты:

ss -tulpn | grep nginx

Проверка версии nginx:

nginx -v

Подробная информация о сборке, модулях и параметрах компиляции:

nginx -V

Проверка установленного пакета в RHEL / AlmaLinux / Rocky Linux / CentOS:

rpm -qa | grep nginx

Проверка установленного пакета в Debian / Ubuntu:

dpkg -l | grep nginx

Проверка версии в контейнере:

docker exec -it <container_name> nginx -v
docker exec -it <container_name> nginx -V

После проверки версии нужно посмотреть конфигурации nginx. Особое внимание — директивам и модулям, которые упоминаются в уязвимостях.

Поиск rewrite-правил:

grep -R "rewrite" /etc/nginx/

Поиск неименованных PCRE-захватов $1, $2 и подобных конструкций:

grep -R "\$[0-9]" /etc/nginx/

Поиск HTTP/2 proxy-сценариев:

grep -R "proxy_http_version 2" /etc/nginx/
grep -R "proxy_set_body" /etc/nginx/

Поиск OCSP, HTTP/3, uwsgi, scgi и charset_map:

grep -R "ssl_ocsp\|http3\|quic\|uwsgi_pass\|scgi_pass\|charset_map" /etc/nginx/

Перед обновлением nginx сохраните конфигурации и убедитесь, что есть актуальный бэкап сайта и базы данных.

Бэкап конфигураций nginx:

mkdir -p /root/backup-nginx
cp -a /etc/nginx /root/backup-nginx/nginx-$(date +%F)

Бэкап логов nginx:

cp -a /var/log/nginx /root/backup-nginx/nginx-logs-$(date +%F)

Проверка конфигурации до обновления:

nginx -t

На Ubuntu и Debian nginx обычно обновляется через apt. Используйте официальные репозитории вашей ОС или официальный репозиторий nginx, если он был подключён ранее.

Обновите список пакетов:

apt update

Посмотрите доступную версию nginx:

apt-cache policy nginx

Обновите nginx:

apt install --only-upgrade nginx

Проверьте версию:

nginx -v

Проверьте конфигурацию и перезапустите сервис:

nginx -t
systemctl restart nginx

В RHEL-совместимых системах nginx обычно обновляется через dnf или yum.

Для современных систем с dnf:

dnf clean all
dnf update nginx

Для старых систем с yum:

yum clean all
yum update nginx

Проверьте установленную версию:

rpm -qa | grep nginx
nginx -v

Проверьте конфигурацию и перезапустите nginx:

nginx -t
systemctl restart nginx

Если nginx используется в составе VMBitrix, обновлять его нужно через пакеты 1С-Битрикс, а не через случайные сторонние репозитории.

Базовая команда обновления для актуальной VMBitrix:

dnf clean all && dnf update

Проверка установленного пакета bx-nginx:

rpm -qa | grep bx-nginx

Проверка конфигурации:

nginx -t

Перезапуск nginx:

systemctl restart nginx

Если nginx работает в Docker, обновлять нужно не пакет на хосте, а Docker-образ.

Проверьте контейнеры с nginx:

docker ps | grep nginx

Проверьте версию nginx внутри контейнера:

docker exec -it <container_name> nginx -v

Обновите образ:

docker pull nginx:stable

Пересоберите и перезапустите контейнеры через Docker Compose:

docker compose pull
docker compose up -d --force-recreate

Проверьте логи:

docker logs <container_name> --tail=100

Если nginx используется как ingress controller или reverse proxy в Kubernetes, нужно проверить версию образа и обновить deployment / Helm chart.

Найдите nginx ingress:

kubectl get pods -A | grep nginx

Посмотрите образ контейнера:

kubectl describe pod <pod_name> -n <namespace> | grep Image

Если используется Helm, проверьте релизы:

helm list -A | grep nginx

Обновите chart после проверки совместимости:

helm repo update
helm upgrade <release_name> <chart_name> -n <namespace>

Проверьте статус rollout:

kubectl rollout status deployment/<deployment_name> -n <namespace>

Иногда обновление нельзя выполнить сразу: нет технического окна, используется кастомная сборка, есть риск сломать совместимость или требуется согласование. В этом случае нужно временно снизить риски.

• Ограничьте доступ к административным разделам по IP или через VPN.
• Закройте неиспользуемые виртуальные хосты, тестовые домены и старые конфигурации.
• Отключите неиспользуемые модули и экспериментальные настройки.
• Проверьте rewrite-правила и замените опасные конструкции там, где это возможно.
• Включите WAF, CDN или внешний reverse proxy перед сервером.
• Настройте rate limit для подозрительных и частых запросов.
• Усильте логирование и мониторинг ошибок nginx.
• Подготовьте бэкап конфигураций, файлов сайта и базы данных.

Эти меры не заменяют обновление nginx, но помогают снизить риск до установки исправленной версии.

Если в конфигурации есть rewrite-правила с неименованными захватами $1, $2, их нужно внимательно проверить. Не удаляйте их без понимания логики сайта.

Пример конструкции, которую нужно проверить:

rewrite ^/old/(.*)$ /new/$1? permanent;

Более безопасный подход — использовать понятные именованные группы, если это применимо к вашей конфигурации:

rewrite ^/old/(?<path>.*)$ /new/$path? permanent;

После любого изменения проверьте конфигурацию:

nginx -t

И перезагрузите nginx без полного рестарта, если конфигурация корректна:

systemctl reload nginx