В nginx нашли критическую уязвимость CVE-2026-42945 (CVSS 9.2): один HTTP-запрос без авторизации роняет рабочий процесс веб-сервера, а на системах с отключённым ASLR открывает дорогу к выполнению чужого кода. Баг прожил в коде 18 лет и сидит почти во всех сборках вплоть до исправленных 1.30.1 и 1.31.0 — включая 1С-Битрикс, панели управления и российский форк Angie. Первые попытки эксплуатации уже зафиксированы, так что окно «спокойно подождём» закрылось. Разберём, как за пять минут проверить свой сервер и закрыть дыру без простоя...

Nginx 1.30.0, вышедший 15 марта 2026 года, сразу повышает производительность веб‑серверов на 23 % и усиливает безопасность благодаря встроенному TLS 1.3‑профилю и защите от HTTP‑Flood. Обновление полностью совместимо с существующими конфигурациями, но открывает новые возможности для оптимизации прокси‑слоёв и снижения расходов до 120 000 ₽ в год. Новые асинхронные модули позволяют обрабатывать до 10 000 одновременных соединений без роста потребления памяти. Это достигается за счёт переработанного event‑loop, который уменьшил среднее время отклика с 120 мс до 92 мс...