Как проверить и обновить nginx в BitrixVM

Виртуальную машину обычно ставят один раз и больше не трогают: сайт работает, значит всё в порядке. С веб-сервером так не выходит — он смотрит наружу, и его уязвимости эксплуатируются без всякого доступа к сайту.

Что случилось

В мае 2026 года команда nginx и компания F5 раскрыли семь уязвимостей сразу. Две из них критические:

• CVE-2026-42945, она же NGINX Rift — переполнение буфера в модуле rewrite, потенциально позволяет выполнить код без авторизации. Ошибка жила в коде с 2008 года и есть во всех версиях от 0.6.27 до 1.30.0. Для неё опубликован рабочий эксплойт с обходом ASLR, попытки эксплуатации уже фиксировали.
• CVE-2026-9256, nginx-poolslip — ещё одно переполнение буфера в том же модуле при пересекающихся захватах регулярных выражений.

Остальные пять касаются внедрения запросов через HTTP/2, обращения к освобождённой памяти при ssl_ocsp, чтения за пределами буфера в модулях uwsgi и scgi и в таблицах кодировок, а также подмены адреса при миграции соединения в HTTP/3.

1С-Битрикс пересобрал веб-сервер с исправлениями и 25 мая 2026 года выпустил пакет bx-nginx 1.30.2 для виртуальной машины. Подробности — на странице вендора.

Кого это касается

Всех, у кого сайт или коробочный портал работает на BitrixVM. Уязвимости проявляются, когда в конфигурации активны соответствующие модули, а модуль rewrite используется практически в любой стандартной конфигурации — именно через него работают человекопонятные адреса.

Облачный Битрикс24 и собственную инфраструктуру вендор обновил сам. Если nginx стоит у вас ещё где-то — на отдельном прокси, балансировщике, тестовом стенде, — эти машины нужно обновлять отдельно: пакет из виртуалки туда не попадёт.

Как узнать свою версию

По SSH на сервере:

nginx -v
rpm -q bx-nginx        # для систем на основе RPM
dpkg -l | grep bx-nginx # для систем на основе DEB

Если версия ниже 1.30.2 — обновление нужно. Заодно стоит посмотреть, что ещё отстаёт: виртуальная машина обновляется целиком, и вместе с веб-сервером обычно накапливаются другие пакеты.

Как обновить

Через меню виртуальной машины: пункт обновления системы и пакетов BitrixVM. Он подтягивает пакеты из репозитория вендора, включая bx-nginx. После установки веб-сервер перезапускается сам, но перезапуск стоит проверить: процессы могут остаться на старой версии, если обновление прошло с ошибкой.

nginx -v                 # версия после обновления
systemctl status nginx   # состояние службы
nginx -t                 # проверка конфигурации

Последняя команда важнее, чем кажется: если в конфигурации есть ручные правки, новая версия может ругаться на устаревшие директивы, и тогда служба не поднимется после перезапуска.

Что проверить после

1. Открывается ли сайт по обычным адресам — работает ли rewrite с человекопонятными адресами.
2. Отдаются ли статические файлы: картинки, стили, загруженные документы.
3. Работает ли панель администратора и загрузка файлов на диск портала.
4. Не появились ли ошибки в журнале веб-сервера за первые минуты после перезапуска.

Если на сервере включён композитный кеш, после обновления его лучше сбросить: часть страниц отдаётся напрямую из файлов, и проверять работу сайта по ним бесполезно.

Если виртуальная машина давно не обновлялась

Тогда вопрос шире одного пакета. Проверьте заодно версию операционной системы: у многих под коробкой до сих пор стоит CentOS 7, поддержка которой закончилась — про это у нас отдельный разбор. И версию PHP: 31 декабря 2026 из поддержки выходит ветка 8.2.

Обновлять всё сразу страшно, но тянуть дороже: на сервере, который не обновляли два года, каждое следующее обновление сложнее предыдущего.