Вышел релиз основной ветки веб-сервера Nginx 1.29.8, в рамках которой продолжается активное внедрение новых функций. Параллельно поддерживается стабильная ветка 1.28.x, где изменения ограничиваются исключительно исправлением критических ошибок и закрытием уязвимостей. В перспективе на основе текущей версии 1.29.x будет сформирована следующая стабильная ветка — 1.30. Исходный код проекта написан на языке Си и распространяется на условиях лицензии BSD.
Ключевые нововведения Nginx 1.29.8
В актуальном обновлении реализованы следующие изменения:
- Появилась директива max_headers, которая задает лимит на количество HTTP-заголовков в одном запросе. При выходе за установленные рамки сервер возвращает ошибку 400 (Bad Request). Эта функция была заимствована из проекта FreeNginx.
- Добавлена поддержка библиотеки OpenSSL 4.0, которая в данный момент находится на этапе альфа-тестирования.
- Внутри блока geo для директивы include теперь разрешено использование масок.
- Исправлен баг, возникавший при обработке ответов с кодом 103 (Early Hints), если они поступали от проксируемого бэкенда.
- Устранена проблема, из-за которой переменные $request_port и $is_request_port не передавались корректно в подзапросы.
Обновление FreeNginx 1.29.7
Также состоялся релиз FreeNginx 1.29.7. Этот форк Nginx, развиваемый Максимом Дуниным (одним из ключевых создателей оригинального Nginx), позиционируется как независимый некоммерческий проект, свободный от корпоративного влияния. Код распространяется под лицензией BSD.
Исправления и улучшения в FreeNginx:
- Реализована совместимость с OpenSSL 4.0.
- Закрыта уязвимость CVE-2026–27654: устранено переполнение буфера в модуле ngx_http_dav_module, которое могло возникнуть при выполнении WebDAV-запросов COPY или MOVE в блоках location с директивой alias.
- Устранена угроза безопасности CVE-2026–28753, связанная с возможной манипуляцией PTR-записями в DNS. Уязвимость могла позволить атакующему подменять данные в запросах auth_http и команде XCLIENT при работе с бэкендами по протоколу SMTP.
