1С-Битрикс nginx веб-серверінің мамыр айындағы осалдықтарын жою үшін bx-nginx 1.30.2 жаңартуын ұсынды

2026 жылғы мамырда nginx әзірлеушілері F5 компаниясының сарапшыларымен бірлесіп, әлемдік көптеген интернет-жобалардың базалық құрамдас бөлігі болып табылатын танымал nginx веб-серверінде жеті осалдықтың анықталғаны туралы хабарлады. Жедел шара ретінде 1С-Битрикс компаниясы VMBitrix ортасына арналған bx-nginx 1.30.2 пакетінің жаңа нұсқасын шығарды. Бұл релизде табылған барлық саңылауларға, соның ішінде ең қауіпті екі осалдыққа: CVE-2026-9256 («nginx-poolslip») және NGINX Rift (CVE-2026-42945) қарсы түзетулер бар. Жағдай өте күрделі, өйткені NGINX Rift үшін еркін қолжетімділікте жұмыс істейтін эксплойт пайда болды .

Қысқаша ең маңыздысы: VMBitrix виртуалды машиналарының иелеріне жақын сағаттарда bx-nginx пакетін 1.30.2 нұсқасына дейін жаңарту шұғыл түрде ұсынылады. Желіде ASLR қорғанысын айналып өтуге қабілетті эксплойтты қолдану арқылы NGINX Rift осалдығы арқылы бұзудың нақты әрекеттері тіркелді.

Мәселенің мәні

Жақында nginx әзірлеушілер тобы мен F5 аналитиктері nginx Plus және nginx Open Source өнімдеріндегі алты осалдық туралы үйлестірілген есепті жариялады. Сонымен қатар тұрақты тармақ (nginx 1.30.1) және негізгі тармақ (nginx 1.31.0) құрамында патчтар шығарылды. Осы тергеу шеңберінде 22 мамырда жетінші осалдық табылып, жойылды (nginx 1.31.1 релизіне енді).

Ең маңызды қауіптердің бірі ретінде NGINX Rift (CVE-2026-42945) танылды — бұл rewrite модулінің ішіндегі үймедегі (heap) буфердің толып кету қатесі. depthfirst командасының сарапшылары анықтаған бұл мәселе 2008 жылдан бастап бастапқы кодта жасырынып келген және 0.6.27-ден 1.30.0-ге дейінгі (қоса алғанда) барлық nginx Open Source нұсқаларында бар. nginx салалық стандарт болғандықтан, мамыр айындағы осалдықтар өте көп серверлерге, соның ішінде 1С-Битрикс экожүйесінде қолданылатын жинақтарға әсер етті. Әзірлеушілер nginx-ті қажетті түзетулермен жедел түрде қайта жинап, оның VMBitrix-тегі жұмысын тексерді және 25 мамырда құтқарушы bx-nginx 1.30.2 жаңартуын шығарды.

Жабылған осалдықтардың тізімі

nginx әзірлеушілерінің өздері CVE-2026-42945 саңылауын орташа қауіптілік деңгейіндегі (severity medium) осалдық ретінде жіктейді. Алайда depthfirst тарапынан болған сыртқы зерттеушілер, тәуелсіз орталықтар (Orca Security, Qualys, Cloud Security Alliance) және F5 компаниясы оны CVSS v4 шкаласы бойынша 9.2 баллға бағалайды, бұл «critical» мәртебесіне сәйкес келеді. 1С-Битрикс компаниясы сыртқы сарапшылардың пікірімен келіседі және бұл осалдықты критикалық санатқа жатқызады.

Бұл кімге әсер етеді

Релиз құрамына әдепкі бойынша nginx веб-сервері кіретін VMBitrix (1С-Битрикс ресми виртуалды машинасы) базасындағы барлық серверлік конфигурациялар үшін өзекті. Мәселе конфигурациялық файлда осал модульдер (rewrite, HTTP/2 хаттамасы үшін proxy_set_body, ssl_ocsp, charset_map параметрлері, HTTP/3 қолдауы немесе uwsgi/scgi-проксилеу) белсендірілген жағдайларда көрініс табады. Айта кету керек, VMBitrix стандартты баптауларының көпшілігі rewrite модулін пайдаланады, демек, жүйе NGINX Rift класындағы шабуылдарға ұшырауы мүмкін.

Битрикс24 бұлттық сервисінің клиенттері және 1С-Битрикстің ішкі инфрақұрылымы әзірлеуші тарапынан осы көпшілікке арналған хабарлама шыққанға дейін алдын ала патчталған.

Назар аударыңыз: егер сіздің архитектураңызда VMBitrix ортасынан тыс nginx-тің сыртқы инсталляциялары пайдаланылса, оларды тиісті әзірлеушілердің ресми ресурстарынан патчтарды жүктеп алып, қолмен жаңарту қажет.

Жаңарту бойынша нұсқаулық

VMBitrix қауіпсіздігін қамтамасыз ету үшін міндетті түрде виртуалды машинаңызды келесі командамен жаңартыңыз: dnf clean all && dnf update

Егер сізге nginx-ке VMBitrix базалық дистрибутивінде жоқ сыртқы модульді қосу қажет болса, бастапқы коды бар репозиторийді пайдаланыңыз.

/etc/yum.repos.d/bitrix-source-9.repo жолы бойынша бастапқы кодтар репозиторийінің файлын жасап, оған келесі блокты жазыңыз:

[bitrix-source-9]
name=Bitrix Packages Source for Enterprise Linux 9 - x86_64
baseurl=https://repo.bitrix24.tech/dnf/SRPMS
enabled=1
gpgcheck=1
priority=1
failovermethod=priority
gpgkey=https://repo.bitrix24.tech/dnf/RPM-GPG-KEY-BitrixEnv-9

Жүйеде yum-utils және dnf-utils пакеттерінің орнатылғанын тексеріңіз:

dnf clean all && dnf install -y dnf-utils yum-utils

bx-nginx пакетінің бастапқы файлдарын жүктеңіз:

yumdownloader --source bx-nginx

Командалық жолдың күтілетін нәтижесі шамамен былай көрінеді:

[root@localhost ~]# yumdownloader --source bx-nginx
enabling epel-source repository
enabling epel-cisco-openh264-source repository
enabling baseos-source repository
enabling appstream-source repository
enabling crb-source repository
enabling extras-source repository
Extra Packages for Enterprise Linux 9 - x86_64 - Source 2.4 MB/s | 4.3 MB 00:01
Rocky Linux 9 - BaseOS - Source 429 kB/s | 423 kB 00:00
Rocky Linux 9 - AppStream - Source 280 kB/s | 945 kB 00:03
Rocky Linux 9 - CRB - Source 116 kB/s | 139 kB 00:01
Rocky Linux 9 - Extras Source 10 kB/s | 14 kB 00:01
bx-nginx-1.30.2-0.el9.src.rpm 4.6 MB/s | 118 MB 00:25
[root@localhost ~]#

Патчты орнату процесін кешіктірмеңіз. Қаскүнемдерде ASLR-ді айналып өту механизмі бар дайын NGINX Rift эксплойтына қол жеткізу мүмкіндігі бар және ақпараттық қауіпсіздік аналитиктері желіде осалдықты пайдаланудың нақты әрекеттерінің бар екенін растап отыр.