Se ha revelado una vulnerabilidad de alta gravedad que afecta tanto a NGINX Open Source como a NGINX Plus. Registrada formalmente como CVE-2026-32647, esta falla de seguridad tiene una puntuación base de 8.5 en CVSS v4.0 y 7.8 en CVSS v3.1.

Permite a atacantes locales y autenticados provocar una condición de denegación de servicio (DoS) o potencialmente ejecutar código arbitrario en el sistema subyacente.

La vulnerabilidad existe por completo dentro del plano de datos de la aplicación, por lo que no hay exposición en el plano de control. F5 reconoció formalmente a los investigadores Xint Code y Pavel Kohout de Aisle Research por descubrir y coordinar la divulgación de esta vulnerabilidad.

F5 NGINX Plus y vulnerabilidad en Open Source

El núcleo de este problema de seguridad proviene de una vulnerabilidad de lectura fuera de límites, clasificada como CWE-125. Esta falla de corrupción de memoria está aislada dentro del módulo ngx_http_mp4_module.

Los actores de amenazas pueden explotar esta debilidad obligando al servidor NGINX a procesar un archivo MP4 especialmente diseñado.

Cuando el proceso trabajador de NGINX analiza el archivo multimedia malicioso, desencadena un desbordamiento o subdesbordamiento de búfer en la memoria del trabajador.

Esta manipulación de memoria termina inmediatamente el proceso trabajador, interrumpiendo temporalmente el tráfico de red activo mientras el sistema intenta reiniciar el proceso.

Más allá de una simple denegación de servicio, los atacantes podrían teóricamente encadenar esta corrupción de memoria para lograr ejecución remota de código en la máquina anfitriona.

Para que un sistema sea vulnerable, la instancia de NGINX debe estar compilada con el módulo ngx_http_mp4_module y usar activamente la directiva mp4 dentro de su archivo de configuración. NGINX Plus incluye este módulo automáticamente.

Por el contrario, los administradores de NGINX Open Source deben haber compilado y habilitado explícitamente el módulo para estar en riesgo. F5 ha lanzado actualizaciones de software para abordar esta vulnerabilidad en todas las ramas de productos afectadas.

Otros productos de F5, incluyendo BIG-IP, BIG-IQ, F5OS y F5 Distributed Cloud, no se ven afectados por esta falla. Las versiones de NGINX Plus R32 a R36 son vulnerables, con correcciones disponibles en R36 P3, R35 P2 y R32 P5.

Las versiones de NGINX Open Source 1.1.19 a 1.29.6 están afectadas, con parches lanzados en las versiones 1.28.3 y 1.29.7.

Mitigaciones

Se recomienda encarecidamente a los equipos de seguridad que actualicen sus implementaciones de NGINX a las últimas versiones parcheadas de inmediato.

Si la aplicación inmediata del parche no está dentro de tu ventana de mantenimiento actual, F5 recomienda aplicar mitigaciones basadas en configuración para proteger tu infraestructura.

Los administradores pueden neutralizar la amenaza desactivando temporalmente el módulo de streaming MP4. Esto requiere iniciar sesión en el sistema anfitrión de NGINX y editar los archivos de configuración principales, típicamente ubicados en el directorio /etc/nginx.

Los ingenieros de seguridad deben localizar todos los bloques de servidor y ubicación que utilicen la directiva mp4 y comentarlos usando el carácter numeral (#).

Después de guardar la configuración modificada, los administradores deben validar la sintaxis usando el comando sudo nginx -t antes de recargar el servicio de manera elegante.

Aunque esta mitigación desactiva el soporte de pseudo-streaming del lado del servidor para archivos MP4, elimina efectivamente el vector de ataque. Como una medida adicional de defensa en profundidad, las organizaciones deberían restringir la publicación de archivos de audio y video solo a usuarios de confianza.

Restringir los derechos de publicación de medios evita que actores no autorizados introduzcan la carga útil MP4 diseñada en el entorno del servidor.