一個(gè)普通MP4視頻文件，能讓全球數(shù)百萬臺服務(wù)器直接癱瘓。這不是電影橋段，是F5 NGINX剛被公開的CVE-2026-32647漏洞——CVSS v4.0評分8.5，本地攻擊者用精心構(gòu)造的媒體文件就能觸發(fā)拒絕服務(wù)，甚至遠(yuǎn)程執(zhí)行代碼。

攻擊門檻低到離譜：你服務(wù)器只要啟用了MP4流媒體功能，對方上傳個(gè)視頻就能打穿。

漏洞藏在哪：一個(gè)被忽視的流媒體模塊

問題出在ngx_http_mp4_module模塊。這個(gè)負(fù)責(zé)處理MP4流媒體點(diǎn)播的組件，在解析惡意構(gòu)造的視頻文件時(shí)會發(fā)生越界讀?。–WE-125）。內(nèi)存緩沖區(qū)被惡意數(shù)據(jù)撐爆或掏空，NGINX工作進(jìn)程當(dāng)場崩潰。

進(jìn)程重啟期間，活躍網(wǎng)絡(luò)連接全部中斷。攻擊者如果技術(shù)夠硬，能把這次內(nèi)存 corruption 升級為完整的遠(yuǎn)程代碼執(zhí)行——拿到服務(wù)器shell只是時(shí)間問題。

F5安全公告里特別感謝了Aisle Research的兩位研究員：Xint Code和Pavel Kohout。他們發(fā)現(xiàn)了這個(gè)藏在數(shù)據(jù)平面的定時(shí)炸彈，并協(xié)調(diào)完成了漏洞披露。好消息是控制平面完全不受影響，壞消息是數(shù)據(jù)平面正是對外提供服務(wù)的門面。

NGINX Plus用戶風(fēng)險(xiǎn)更高：這個(gè)模塊是默認(rèn)自帶的。開源版用戶相對安全——除非你手動編譯時(shí)特意打開了它。

影響范圍：這些版本正在裸奔

NGINX Plus的R32到R36全部中招。修復(fù)版本已經(jīng)發(fā)布：R36 P3、R35 P2、R32 P5。開源版這邊，1.1.19到1.29.6都有問題，補(bǔ)丁在1.28.3和1.29.7里。

檢查自己是否在危險(xiǎn)區(qū)很簡單：打開你的nginx.conf，搜索"mp4"指令。只要出現(xiàn)在server或location塊里，且沒被注釋掉，你就需要行動了。

F5產(chǎn)品線里，BIG-IP、BIG-IQ、F5OS、F5 Distributed Cloud這次完全免疫。漏洞只針對NGINX的MP4流媒體處理邏輯，其他產(chǎn)品架構(gòu)不同，逃過一劫。

應(yīng)急方案：修不了就關(guān)掉

安全團(tuán)隊(duì)的優(yōu)先級只有一個(gè)字：升。立刻升級到最新補(bǔ)丁版本。如果維護(hù)窗口排不開，F(xiàn)5給了臨時(shí)止血方案——直接禁用MP4模塊。

具體操作：SSH登錄服務(wù)器，找到/etc/nginx目錄下的配置文件。把所有用到mp4指令的server塊和location塊前面加上#號注釋掉。改完別急著reload，先用sudo nginx -t檢查語法，確認(rèn)無誤再平滑重啟。

代價(jià)很明顯：你的網(wǎng)站或應(yīng)用的MP4點(diǎn)播功能會暫時(shí)下線。但這是用業(yè)務(wù)可用性換系統(tǒng)安全性，典型的兩害相權(quán)取其輕。

這次漏洞的諷刺之處在于，MP4模塊本來是個(gè)邊緣功能。大部分NGINX部署用它做反向代理、負(fù)載均衡，根本不開流媒體服務(wù)。但恰恰是那些"可能用得上"就順手啟用的配置，成了攻擊者的跳板。

你的NGINX配置里，有多少"萬一將來要用"就開著的功能？上次審計(jì)配置文件是什么時(shí)候？