CVE-2026-42945용 NGINX Rift Detector

본인이 소유한 NGINX 서버용 읽기 전용 Bash 점검 스크립트입니다. CVE-2026-42945 공개 이후 운영자가 다음 두 가지 질문에 답하는 데 도움을 줍니다.

• 이 서버가 여전히 노출된 NGINX 빌드 또는 위험한 rewrite 구성을 실행 중인가?
• 로컬 로그에 티켓을 종료하기 전에 검토가 필요한 크래시, 긴 URI 또는 인코딩 신호가 있는가?

시작하기

필요	링크
도구 페이지 둘러보기	https://limo57640-crypto.github.io/nginx-rift-detector/
Ping7 자체 점검 가이드 읽기	https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
다른 Ping7 GitHub 도구와 비교	https://ping7.cc/github-tools/
의심스러운 출력을 수리 요청으로 보내기	https://ping7.cc/cve-repair/

Ping7 리소스

• 모든 GitHub 도구: https://ping7.cc/github-tools/
• 전체 자체 점검 가이드: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• CVE 수리 서비스: https://ping7.cc/cve-repair/
• 샘플 수리 보고서: https://ping7.cc/cve-repair/sample-report/
• 실시간 CVE 알림: https://t.me/ping7cve

이슈 또는 수리

디텍터가 충돌하거나, 오탐을 표시하거나, 안전한 방어 신호를 놓치거나, 문서 정리가 필요할 때 GitHub 이슈를 여십시오. 예시는 민감하지 않은 내용으로 유지하십시오.

결과가 VULNERABLE 또는 SUSPICIOUS이거나, 증거에 실사용 도메인, 고객 트래픽, 비공개 로그, 크래시 타임스탬프, 또는 공개적으로 게시하면 안 되는 구성 줄이 포함된 경우 Ping7 수리를 이용하십시오.

보관할 증거

• 디텍터 출력 및 버전.
• NGINX 버전 및 패키지 소스.
• 관련 rewrite 구성 줄 (필요 시 비식별화).
• 액세스 또는 오류 로그에서 첫 번째 의심스러운 타임스탬프.
• 로그가 순환(rotated)되었는지, 삭제되었는지, 또는 호스트 외부에 저장되었는지 여부.

이 저장소를 사용해야 하는 경우

• NGINX를 직접 운영하거나, 리버스 프록시를 통해 또는 호스팅 제어판 뒤에서 운영하는 경우.
• 서버가 rewrite 비중이 높은 구성을 사용하고 패치 적용 기간이 명확하게 기록되지 않은 경우.
• 인시던트 티켓에 붙여넣을 수 있는 터미널 결과가 필요한 경우.
• 정리 또는 침해 검토 비용을 지불하기 전에 1차 점검을 원하는 경우.

빠른 시작

먼저 확인하십시오:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

원격 셸 콘텐츠를 root로 직접 실행하지 마십시오. 스크립트를 다운로드하고 검토한 다음, 본인이 책임지고 있는 서버에서 실행하십시오.

검사 항목

영역	신호
버전	패치 릴리스와 비교한 NGINX 버전
Rewrite 구성	캡처 및 쿼리 문자열을 사용하는 위험한 rewrite 패턴
액세스 로그	매우 긴 URI 및 과도한 퍼센트 인코딩
오류 로그	워커 크래시 루프 및 메모리 손상 증상
ASLR	Linux ASLR 비활성화 여부
워커 사용자	NGINX 워커가 root로 실행되는지 여부

실행 시점

다음 조건에 해당하는 NGINX 서버에서 실행하십시오:

• rewrite 비중이 높은 구성을 사용하는 서버.
• CVE 공개 후 빠르게 패치되지 않은 서버.
• 공개 리버스 프록시, CDN 오리진, API 또는 WordPress 트래픽을 노출하는 서버.
• 설명할 수 없는 워커 크래시 또는 비정상적으로 긴 요청 경로가 나타나는 서버.

출력

스크립트는 다음 중 하나를 보고합니다:

• CLEAN: 명백한 노출 또는 악용 징후가 발견되지 않음.
• VULNERABLE: 버전/구성 신호가 노출을 나타냄.
• SUSPICIOUS: 로그 또는 런타임 지표에 대한 수동 검토가 필요함.

샘플 출력

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

종료 상태

이 릴리스는 대화형 트리아지(triage)용으로 설계되었습니다. 터미널에 CLEAN, VULNERABLE 또는 SUSPICIOUS를 출력하며, 셸 런타임 자체가 실패하지 않는 한 일반적으로 0으로 종료됩니다. CI 스타일 종료 코드가 필요하면 자체 배포 파이프라인에서 출력 상태를 감싸서 사용하십시오.

제한 사항

• 악용이 발생했는지 여부를 증명할 수 없습니다.
• 현재 사용자가 접근할 수 있는 로컬 파일과 로그만 검토합니다.
• 순환되거나 삭제되었거나 호스트 외부에 있는 로그는 관련 기간을 숨길 수 있습니다.
• 공급업체의 백포팅으로 인해 패키지 버전이 실제 패치된 빌드보다 오래된 것처럼 보일 수 있습니다.

수정 절차

1. NGINX를 공급업체의 패치된 빌드로 업그레이드하십시오.
2. 안전하지 않은 rewrite 캡처 패턴을 더 안전한 명명된 캡처(named captures)로 교체하십시오.
3. ASLR을 활성화 상태로 유지하십시오.
4. 노출 기간의 액세스 및 오류 로그를 검토하십시오.
5. NGINX를 재시작하고 디텍터가 clean을 보고하는지 확인하십시오.

수리 인계

결과가 VULNERABLE 또는 SUSPICIOUS이면 출력을 보관하고 다음을 보내십시오:

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

첫 메시지에 비밀번호를 보내지 마십시오. 증상, 타임스탬프, 스크린샷, 비식별화된 로그 발췌문을 보내십시오.

실무 지원이 필요하면: https://ping7.cc/cve-repair

기여

새로운 방어 신호, 오탐, 또는 잘못 보고되는 배포판 버전이 있으면 이슈를 여십시오. NGINX 버전, OS 계열, 비식별화된 구성 줄, 디텍터 결과를 포함하십시오. 실시간 고객 로그, 비밀, 공격 문자열을 게시하지 마십시오.

방어적 범위

이 프로젝트는 방어 전용입니다. 본인이 소유했거나 감사 권한이 있는 시스템에서만 실행하십시오.

페이로드 없음. 광범위한 스캔 없음. 악용 단계 없음.

라이선스

MIT