K8s Ingress Nginx高危漏洞升级修复完整教程

K8s Ingress Nginx 是集群中最常用的流量入口组件之一，一旦出现高危漏洞，直接影响线上服务安全性。
本文针对 Ingress Nginx 高危漏洞升级修复给出完整操作流程：先确认当前版本与影响范围，再通过 Helm 或 YAML 方式升级镜像，最后用访问验证和日志检查确认修复生效。
全文命令可直接复制，零基础也能照着完成。

升级前先确认影响范围

首先查看当前部署的 Ingress Nginx 版本和运行方式：

kubectl get pods -n ingress-nginx -o wide
kubectl exec -it  -n ingress-nginx -- /nginx-ingress-controller --version

或者通过 Helm 查：

helm list -A | grep ingress-nginx

确认版本后，对照官方安全公告判断是否属于受影响范围。
建议把版本信息截图保存，便于后续回滚。
同时记录当前部署的副本数、配置参数（如 --enable-ssl-passthrough 等），避免升级后行为不一致。

备份现有资源并升级

升级前务必备份 Ingress Nginx 相关资源：

kubectl get deploy -n ingress-nginx -o yaml > ingress-nginx-deploy-backup.yaml
kubectl get cm -n ingress-nginx -o yaml > ingress-nginx-cm-backup.yaml

如果使用 Helm 部署，执行：

helm repo update
helm upgrade ingress-nginx ingress-nginx/ingress-nginx -n ingress-nginx --version <目标版本>

如果使用裸 YAML 部署，则替换镜像标签：

kubectl set image deployment/ingress-nginx-controller \
  ingress-nginx-controller=registry.k8s.io/ingress-nginx/controller:<目标版本> \
  -n ingress-nginx

等待滚动更新完成：

kubectl rollout status deployment/ingress-nginx-controller -n ingress-nginx

常见报错与避坑说明

升级过程中最容易遇到三类问题：一是镜像拉取失败，先确认集群能否访问 registry.k8s.io，必要时换成国内镜像源。
二是自定义参数不兼容，升级后如果出现 unknown flag 报错，说明新版已移除该参数，需要按官方文档调整。
三是 Webhook 校验失败，更新后再执行一次：

kubectl get validatingwebhookconfigurations | grep ingress-nginx

删除旧的 Webhook 配置会让后续 Ingress 创建失败，不要手动删除，应同步升级对应 YAML。

另外，升级前建议先查看官方 release 说明，确认目标版本的 Kubernetes 最低版本要求，避免高版本 Ingress Controller 不兼容低版本集群。

验证漏洞修复是否生效

升级完成后，先检查 Pod 状态和镜像版本：

kubectl get pods -n ingress-nginx -o wide
kubectl get deploy -n ingress-nginx -o jsonpath='{.spec.template.spec.containers[0].image}' | xargs echo

再访问一个测试域名，确认请求能正常返回真实服务内容：

curl -I http:// -H "Host: test.example.com"

同时查看控制器日志，观察有没有大量 502 或 TLS 报错：

kubectl logs -f deployment/ingress-nginx-controller -n ingress-nginx --tail=100

如果日志中不再出现与目标漏洞相关的错误，且流量转发正常，说明本次 K8s Ingress Nginx 高危漏洞升级修复已经完成。
建议后续把 Ingress Nginx 版本更新纳入定期巡检项，及时跟进官方安全公告。
如果你正在处理 K8s Ingress Nginx高危漏洞升级修复完整教程，建议先按本文步骤完整执行，再根据自己的环境做微调；
遇到异常时优先回看避坑和高频问题部分。