Загруженное становится текущим сразу: страница /download подхватит новое имя, размер и SHA-256 сама. nginx трогать не надо — он отдаёт любой .exe из директории. Рядом с exe кладётся .sha256-файл.