【高危预警】Nginx 核心反向代理模块 HTTP/3 与 QUIC 协议缓冲区溢出漏洞（CVE-2026-3392）通报

【漏洞概述】
F5 Nginx 官方团队通告了在其核心反向代理 Web 引擎中发现的高危缺陷（CVE-2026-3392，CVSS 评分 8.8）。
该缺陷源于 Nginx 的 `ngx_http_v3_module` 在解析外部 QUIC 数据报文重组会话时，缺少对扩展帧长度的严格校验，
远程未经认证的攻击者可通过向开启了 HTTP/3 监听的 443/UDP 端口投递特制 UDP 报文，触发堆缓冲区溢出，造成 Nginx Master/Worker 进程连续崩溃（拒绝服务），或在特定内存布局下造成任意指令执行。

【受影响版本】
• Nginx 1.25.x 系列至 1.26.x 系列（仅限编译时启用了 `--with-http_v3_module` 且配置中开启了 `quic` 监听的实例）

【核查指引】
在网关服务器执行 `nginx -V` 检查编译参数中是否包含 `http_v3_module`；检查 `nginx.conf` 中是否存在 `listen 443 quic;` 配置项。

【修复建议】
1. 升级 Nginx 到官方最新稳定版本（如 1.26.2+ 或 1.27.x+）；
2. 临时缓解：注释掉配置文件中的 `quic` 监听指令，重启 Nginx，暂时仅开放标准 HTTP/1.1 和 HTTP/2 (TCP 443) 服务；
3. 鸿煌科技运维团队已将该防护规则集成至自研边界安全巡检系统。