AI 發現潛伏 18 年的 NGINX 高危漏洞：全球三分之一網站面臨 RCE 風險

人工智能在網絡安全領域取得里程碑式突破。初創公司 depthfirst 開發的 AI 安全分析系統自主發現了一個潛伏長達 18 年的 NGINX 關鍵漏洞CVE-2026-42945。該漏洞被評定爲嚴重級別（CVSS 9.2），影響了全球近三分之一的網站，攻擊者可藉此實現遠程代碼執行（RCE）。

漏洞核心信息

• 潛伏時長： 自 2008 年引入以來一直未被發現，跨度達 18 年。

• 受影響版本： NGINX 版本從 0.6.27 到 1.30.0。

• 漏洞原理： 存在於 rewrite 模塊中，源於腳本引擎的兩階段處理機制缺陷，導致堆緩衝區溢出。

• 修復版本： 官方已發佈補丁，建議升級至開源版 1.31.0 或 1.30.1，以及相應的商業版 NGINX Plus。

AI 安全分析的“降維打擊”

此次漏洞由舊金山 AI 實驗室 depthfirst 發現。該系統的表現令行業矚目：

• 極高效率： 系統在僅 6 小時的自主掃描中，便識別出包括 CVE-2026-42945 在內的 5 個安全問題（其中 4 個已被官方確認爲遠程內存損壞漏洞）。

• 深度理解： 與傳統工具不同，該 AI 能理解複雜的業務邏輯和跨模塊交互，發現了此前連頂尖 AI 安全工具都遺漏的漏洞。

數據顯示，全球約有 1900 萬個暴露的 NGINX 實例受到該漏洞影響。其中，美國（約 5340 萬個受影響實例，含歷史累計數據）和中國（約 2540 萬個）是暴露程度最高的國家。由於該漏洞的驗證代碼（PoC）已經公開，安全風險極大。建議所有使用 NGINX 的企業和開發者立即覈查配置文件（特別是同時使用 rewrite 和 set 指令的場景），並儘快完成版本更新。