NGINX Rift: что делать на nginx и VMBitrix

CVE-2026-42945 — heap overflow в модуле rewrite nginx (исследователи назвали связку NGINX Rift). Без логина злоумышленник при определённой конфигурации может ронять worker-процессы; при отключённом или обойдённом ASLR — дойти до выполнения кода.

Баг в коде с ~2008 года: затронуты nginx Open Source примерно с 0.6.27 до 1.30.0. Срабатывает не на «любом» nginx, а когда в конфиге есть rewrite с безымянными capture (`$1`, `$2`) в замене с `?`, и рядом в том же scope — ещё rewrite / if / set. На типовом VMBitrix rewrite обычно включён — риск выше среднего «голого» стенда.

В мае 2026 F5 и nginx выпустили патчи (stable 1.30.1, mainline 1.31.0+). 1С-Битрикс собрал bx-nginx 1.30.2 для VMBitrix (закрывает Rift и соседние майские CVE, в т.ч. nginx-poolslip). В открытом доступе есть эксплойт; исследователи фиксировали попытки эксплуатации. В каталоге CISA KEV этой CVE пока нет — приоритет всё равно высокий: публичный PoC + типичный RU-стек.

Рядом: Битрикс на периметре, PHP2Shell, касается ли CVE вас.

Сайты и API за nginx Open Source / Plus до безопасной сборки, если в конфиге есть «опасный» rewrite-паттерн.

Особенно VMBitrix: официальная ВМ 1С-Битрикс с встроенным nginx. Облачный Битрикс24 и инфраструктура самой 1С-Битрикс патчили отдельно — этот чеклист про ваши on-prem / VPS / VMBitrix.

Отдельно обновите nginx вне VMBitrix (прокси, CDN-origin, Docker-образы) — bx-nginx их не закрывает.

Забытые стенды на поддоменах: новые поддомены.

Ориентир по вендору (уточняйте у своего дистрибутива / образа):

• nginx Open Source → 1.30.1 (stable) или 1.31.0+ (mainline); позже — 1.31.1 и новее
• VMBitrix → пакет bx-nginx 1.30.2 или новее
• nginx Plus → хотфиксы веток по advisory F5 (не «просто dnf update nginx» без чтения notes)
• Сборка дистрибутива (Debian/Ubuntu/RHEL) → бэкпорт пакета ОС, если версия в баннере ещё «старая», но changelog содержит CVE-2026-42945

Версия в HTTP-заголовке Server — подсказка снаружи, не единственный источник истины: часть хостов режет Server, часть отдаёт «nginx» без номера.

1. На ВМ обновите пакеты по инструкции 1С-Битрикс (типично `dnf clean all && dnf update` — убедитесь, что подтянулся bx-nginx ≥ 1.30.2).

2. Проверьте версию: `rpm -q bx-nginx` или аналог в вашей поставке. Если апдейта нет — смотрите репозиторий Bitrix / тикет поддержке.

3. После обновления перезапустите nginx / проверьте, что сайты отвечают.

4. Staging и «вторая» VMBitrix в том же аккаунте — обновите тоже; прод без стенда не закрывает периметр.

Обновление модуля landing / ядра Битрикс ≠ патч nginx. Это разные слои: CMS и веб-сервер.

Обновите пакет или образ до безопасной сборки. В Docker не держите `nginx:1.27` / старые теги без проверки CVE.

Пока не можете патчить — снизьте поверхность: уберите опасные rewrite с безымянными capture и `?` в replacement (временная мера по advisory, не замена патча).

Несколько vhost / reverse-proxy перед Битрикс и WordPress — патч нужен на том nginx, который принимает внешний трафик.

PoC из интернета на прод не гоняйте. Внешний взгляд на стек: Радар.

Вопрос не «есть ли CVE в мире», а «торчит ли у нас nginx и видна ли уязвимая (или подозрительно старая) версия / VMBitrix-стек».

• Добавьте корневой домен в signalfort и подтвердите DNS
• Дождитесь обнаружения хостов и сверки стека
• Если nginx / Битрикс видны снаружи и совпали — появится находка (сначала как совпадение)
• «Подтверждено» — только после безопасной проверки на платном плане; это не равно «нас уже взломали»

Старт: бесплатная проверка. Вертикаль: Битрикс на периметре.

• Не считать, что «обновили Битрикс в админке — nginx тоже закрыт»
• Не оставлять вторую VMBitrix / старый Docker без патча
• Не путать «нет в KEV» с «можно не патчить» при публичном эксплойте
• Не запускать публичные эксплойты на боевом сайте

Убедитесь, что пакет/образ — безопасной сборки; при открытом Server — что снаружи не светится 1.30.0 и ниже без бэкпорта.

Посмотрите логи на странные запросы к rewrite-тяжёлым URL около дат раскрытия; проверьте целостность конфигов nginx.

Если есть подозрение на компрометацию — изолируйте хост и идите по IR. signalfort помогает с экспозицией и совпадениями, не заменяет разбор на сервере.