Detector NGINX Rift para CVE-2026-42945

Verificador Bash somente leitura para servidores NGINX próprios. Ele ajuda o operador a responder duas perguntas após a divulgação do CVE-2026-42945:

• Este servidor ainda está executando uma compilação NGINX exposta ou uma configuração de reescrita arriscada?
• Os logs locais mostram sinais de travamento, URI longa ou codificação que precisam de revisão antes de fechar o chamado?

Comece Aqui

Recursos Ping7

• Todas as ferramentas GitHub: https://ping7.cc/github-tools/
• Guia completo de autoavaliação: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check/
• Serviço de reparo CVE: https://ping7.cc/cve-repair/
• Exemplo de relatório de reparo: https://ping7.cc/cve-repair/sample-report/
• Alertas CVE em tempo real: https://t.me/ping7cve

Problema ou reparo

Abra uma issue no GitHub quando o detector travar, sinalizar um falso positivo, deixar passar um sinal defensivo seguro ou precisar de limpeza na documentação. Mantenha o exemplo sem dados sensíveis.

Use o reparo Ping7 quando o resultado for VULNERABLE ou SUSPICIOUS, ou quando as evidências incluírem domínios ativos, tráfego de clientes, logs privados, carimbos de data/hora de travamento ou linhas de configuração que não devam ser postadas publicamente.

Evidências a manter

• Saída e versão do detector.
• Versão do NGINX e origem do pacote.
• Linhas relevantes da configuração de reescrita, anonimizadas se necessário.
• Primeiro carimbo de data/hora suspeito nos logs de acesso ou de erro.
• Se os logs foram rotacionados, excluídos ou armazenados fora do host.

Use Este Repositório Quando

• Você opera NGINX diretamente, por meio de um proxy reverso ou atrás de um painel de controle de hospedagem.
• O servidor usa configuração com muitas reescritas e a janela de correção não foi documentada claramente.
• Você precisa de um resultado de terminal que possa ser colado em um chamado de incidente.
• Você quer uma primeira análise antes de pagar por limpeza ou revisão de comprometimento.

Início Rápido

Inspecione primeiro:

curl -fsSLO https://raw.githubusercontent.com/limo57640-crypto/nginx-rift-detector/main/detect.sh
less detect.sh
sudo bash detect.sh

Não execute conteúdo de shell remoto diretamente como root. Baixe o script, revise-o e execute-o no servidor pelo qual você é responsável.

O Que Ele Verifica

Quando Executar

Execute isto em servidores NGINX que:

• Usam configurações com muitas reescritas.
• Não foram corrigidos rapidamente após a divulgação do CVE.
• Expõem tráfego público de proxy reverso, origem CDN, API ou WordPress.
• Apresentam travamentos inexplicáveis de workers ou caminhos de requisição incomumente longos.

Saída

O script informa um dos seguintes:

• CLEAN: nenhum indicador óbvio de exposição ou exploração encontrado.
• VULNERABLE: sinais de versão/configuração indicam exposição.
• SUSPICIOUS: indicadores de log ou de runtime precisam de revisão manual.

Exemplo de Saída

NGINX Rift CVE-2026-42945 Detector

Checks:
- NGINX version
- rewrite configuration
- access and error logs
- Linux ASLR
- worker user

Result: SUSPICIOUS (0 critical, 2 warnings)
Next: review rewrite rules and error-log crash entries before closing the ticket.
Guide: https://ping7.cc/guides/nginx-rift-cve-2026-42945-self-check

Código de Saída

Esta versão foi projetada para triagem interativa. Ela imprime CLEAN, VULNERABLE ou SUSPICIOUS no terminal e normalmente sai com 0, a menos que o próprio runtime do shell falhe. Se você precisar de códigos de saída no estilo CI, encapsule o status da saída no seu próprio pipeline de implantação.

Limitações

• Não é possível provar se a exploração ocorreu ou não.
• Ele apenas revisa arquivos e logs locais disponíveis para o usuário atual.
• Logs rotacionados, excluídos ou armazenados fora do host podem ocultar a janela relevante.
• Backports do fornecedor podem fazer a versão do pacote parecer mais antiga do que a compilação realmente corrigida.

Caminho de Correção

1. Atualize o NGINX para uma compilação corrigida do seu fornecedor.
2. Substitua padrões inseguros de captura de reescrita por capturas nomeadas mais seguras.
3. Mantenha o ASLR habilitado.
4. Revise os logs de acesso e erro da janela de exposição.
5. Reinicie o NGINX e confirme que o detector informa limpo.

Entrega para Reparo

Se o resultado for VULNERABLE ou SUSPICIOUS, mantenha a saída e envie:

Domain or server:
NGINX version:
CVE: CVE-2026-42945
Detector result: CLEAN / VULNERABLE / SUSPICIOUS
First suspicious timestamp:
Symptoms: worker crash, long URI logs, redirect, config change, or scanner result
Logs still available: yes / no

Não envie senhas na primeira mensagem. Envie sintomas, carimbos de data/hora, capturas de tela e trechos de log anonimizados.

Precisa de ajuda prática: https://ping7.cc/cve-repair

Como Contribuir

Abra uma issue se você tiver um novo sinal defensivo, um falso positivo ou uma versão de distribuição que esteja sendo reportada incorretamente. Inclua a versão do NGINX, a família do SO, a linha de configuração anonimizada e o resultado do detector. Não publique logs de clientes em produção, segredos ou strings de ataque.

Escopo Defensivo

Este projeto é apenas defensivo. Execute-o somente em sistemas seus ou para os quais você tem autorização de auditoria.

Sem payloads. Sem varredura ampla. Sem etapas de exploração.

Licença

MIT