经过一年的开发，Nginx 项目宣布发布新的稳定版本 1.30.0。在准备此稳定版本期间，修复了六个漏洞，其中四个与媒体文件处理模块和身份验证协议相关。一项关键改进是支持 HTTP/3 和 QUIC，目前已达到生产就绪状态。
已修复漏洞：
- CVE-2026-27654： 在具有别名指令的位置处理 COPY 或 MOVE 请求时，缓冲区溢出可能允许攻击者逃逸到网站的根目录。
- CVE-2026-27784： 特制的 MP4 文件可能会导致 32 位平台崩溃。
- CVE-2026-27651： 在使用启用身份验证重试的 CRAM-MD5 或 APOP 身份验证方法时，工作流程中发生段错误。
- CVE-2026-28753： 使用 PTR DNS 记录将数据注入到 auth_http 请求中，并在后端 SMTP 连接中使用 XCLIENT 命令。
- CVE-2026-28755： 成功完成 SSL尽管客户端证书被流模块中的 OCSP 检查拒绝，但握手仍然成功。
其他重大创新：
- HTTP早期提示（103）： 服务器无需等待后端完全生成响应即可发送临时标头，从而加快页面加载速度。
- 加密客户端问候（ECH）： TLS 隐私功能，可对网络观察者隐藏所请求站点的名称。
- 粘性会话： 上游代码块中的粘性指令确保客户端会话“链接到”特定实例。 伺服器 后端。
- 多路径 TCP (MPTCP)： 支持 listen 指令中的 multipath 参数，以提高传输层的容错性和吞吐量。
- 保持生命： 默认的 proxy_http_version 值已更改为 1.1，代理不再发送 Connection 标头。服务器这样可以提高连接重用率。
- OpenSSL 4.0： 已确保与即将发布的加密库主要版本兼容。
- 地理模块： geo 代码块中的 include 指令现在支持通配符。
来源： linux.org.ru
