F5 corrige vulnerabilidades críticas en BIG-IP, NGINX y productos relacionados

F5 publicó su Notificación Trimestral de Seguridad de Febrero de 2026 el 4 de febrero, anunciando varias vulnerabilidades de severidad media y baja (CVEs), además de una exposición de seguridad que afecta a BIG-IP, NGINX y servicios en contenedores. Estos problemas surgen principalmente de riesgos de denegación de servicio (DoS) y debilidades de configuración, lo que podría interrumpir entornos de alto tráfico como firewalls de aplicaciones web (WAF) e ingress de Kubernetes. 

F5 publicó su Notificación Trimestral de Seguridad de Febrero 2026 el 4 de febrero, anunciando varias vulnerabilidades de severidad media y baja (CVEs), además de una exposición de seguridad que afecta a BIG-IP, NGINX y servicios en contenedores.

Estos problemas surgen principalmente de riesgos de denegación de servicio (DoS) y debilidades de configuración, lo que podría interrumpir entornos de alto tráfico como cortafuegos de aplicaciones web (WAF) e ingress de Kubernetes.

Aunque no se han reportado exploits activos, se recomienda aplicar parches de inmediato en implementaciones expuestas a Internet para mitigar cadenas de DoS o accesos no autorizados.

F5 proporciona puntuaciones CVSS v3.1 y v4.0 para los problemas de primera parte, destacando el vector de ataque, privilegios e impacto. Hay disponible un video informativo en DevCentral. Los detalles enlazan a la base de conocimiento de F5.

Estas tres fallas representan amenazas moderadas de DoS, con puntuaciones CVSS de hasta 8.2 (v4.0). Los atacantes podrían saturar servicios de forma remota.

Artículo (CVE)	CVSS v3.1 / v4.0	Productos Afectados	Versiones Afectadas	Soluciones Introducidas En
K000158072: BIG-IP Advanced WAF/ASM (CVE-2026-22548)	5.9 / 8.2	BIG-IP Advanced WAF/ASM	17.1.0 – 17.1.2	17.1.3
K000159824: NGINX (CVE-2026-1642)	5.9 / 8.2	NGINX Plus (R32-R36 P1), Open Source (1.3.0-1.29.4), Ingress Controller (5.3.0-5.3.2; 4.0.0-4.0.1; 3.4.0-3.7.1), Gateway Fabric (2.0.0-2.4.0; 1.2.0-1.6.2), Instance Manager (2.15.1-2.21.0)	R36 P2, R35 P1, R32 P4; 1.29.5, 1.28.2; Ninguna; Ninguna; Ninguna
K000157960: BIG-IP CIS (CVE-2026-22549)	4.9 / 6.9	BIG-IP Container Ingress Services (Kubernetes/OpenShift)	2.0.0-2.20.1; 1.0.0-1.14.0	2.20.2; 2.20.1 (Helm 0.0.363)

Evaluación de Impacto: El CVE-2026-1642 afecta al ecosistema NGINX más amplio, permitiendo DoS desde redes adyacentes mediante solicitudes manipuladas. Las fallas en WAF/ASM y CIS apuntan a los servicios en contenedores de F5, arriesgando interrupciones en nubes híbridas.

Los problemas de menor riesgo se centran en ataques locales o adyacentes.

Artículo (CVE)	CVSS v3.1 / v4.0	Productos Afectados	Versiones Afectadas	Soluciones Introducidas En
K000158931: BIG-IP Edge Client (CVE-2026-20730)	3.3 / 2.0	BIG-IP APM (21.0.0; 17.5.0-17.5.1; etc.); Clientes APM	17.1.3.13; 7.2.6.2	17.1.3.13, 7.2.6.2
K000156644: BIG-IP Config Utility (CVE-2026-20732)	3.1 / 2.3	BIG-IP (todos los módulos)	17.5.1.4; 17.1.3.1	17.5.1.4 17.1.3.1

Notas: Edge Client requiere habilitar la Actualización de Componentes después de la actualización. La falla en la utilidad de configuración permite escalada local de privilegios.

Exposiciones de Seguridad

Artículo	Productos Afectados	Versiones Afectadas	Soluciones Introducidas En
K000156643: Configuración SMTP de BIG-IP	BIG-IP (todos los módulos)	21.0.0; 17.5.0-17.5.1; etc.	21.0.0.1; 17.5.1.4; 17.1.3.1

Esta exposición arriesga configuraciones incorrectas de SMTP que podrían llevar a abusos de relay.

Prioriza los CVEs medios en entornos con NGINX. Escanea versiones afectadas (solo pre-EoTS), aplica correcciones mediante iHealth o Helm para CIS. Prueba en entornos de staging para evitar interrupciones. Monitorea las páginas de Medio, Bajo y Exposiciones. El cambio de F5 a CVSS v4.0 ayuda a una puntuación de riesgo más precisa; consulta K000140363.

Fuentes:
https://cybersecuritynews.com/f5-patches-critical-vulnerabilities/