Se ha descubierto una vulnerabilidad crítica de desbordamiento de búfer de montón en el código fuente de NGINX, la cual ha estado presente desde el año 2008. Esta falla permite la ejecución remota de código (RCE) de forma no autenticada, afectando a uno de los servidores web más utilizados a nivel mundial. Actualmente, ya existe un exploit de prueba de concepto (PoC) público que demuestra cómo aprovechar este fallo.

Se ha descubierto una vulnerabilidad crítica de desbordamiento de búfer de montón (heap buffer overflow) en el código fuente de NGINX, presente desde 2008.

Esta vulnerabilidad ha sido revelada públicamente, junto con un exploit de prueba de concepto (PoC) funcional que puede permitir la ejecución remota de código (RCE) no autenticada contra uno de los servidores web más utilizados del mundo.

Asignada con una puntuación CVSS de 9.2, la CVE-2026-42945 reside en el módulo ngx_http_rewrite_module de NGINX.

Este motor impulsa la reescritura de URL y la asignación de variables en prácticamente cualquier despliegue moderno de NGINX.

El error se introdujo por primera vez en la versión 0.6.27, lanzada en 2008, y permaneció indetectado durante 18 años en todas las versiones hasta la 1.30.0.

Vulnerabilidad RCE de NGINX de 18 años

El fallo se activa cuando una configuración utiliza las directivas rewrite y set juntas, un patrón común en configuraciones de puertas de enlace de API (API gateway).

El motor de scripts interno de NGINX procesa estas directivas mediante un sistema de dos pasos: el primer paso calcula la longitud de la memoria y el segundo escribe los datos en el búfer asignado.

El fallo crítico radica en un desajuste de estado entre los dos pasos. Cuando una directiva rewrite contiene un signo de interrogación (?), establece permanentemente un indicador is_args = 1 en el motor de scripts principal.

Sin embargo, durante el primer paso (cálculo de longitud), se utiliza un submotor puesto a cero, lo que significa que is_args es efectivamente cero. La longitud se calcula sin tener en cuenta el escape de la URI.

En el segundo paso (copia), el motor principal se ejecuta con is_args = 1, lo que provoca que la función ngx_escape_uri expanda cada byte escapable de 1 a 3 bytes.

El resultado: se escriben muchos más datos en el búfer de los que se asignaron, lo que conduce a un clásico desbordamiento de búfer de montón.

Los investigadores desarrollaron un exploit RCE funcional para sistemas con ASLR desactivado.

La firma de investigación de seguridad depthfirst descubrió la vulnerabilidad de forma autónoma durante una auditoría de código en abril de 2026 que también reveló tres errores adicionales de corrupción de memoria.

La cadena de ataque combina la manipulación del montón, la pulverización de estructuras de limpieza falsas a través de cuerpos POST y la arquitectura multiproceso determinista de NGINX para lograr una ejecución de código fiable y repetible. Ya hay un PoC público disponible en GitHub.

Se confirmaron tres CVE adicionales junto con el fallo crítico:

CVE	Severidad	CVSS	Módulo Afectado	Impacto
CVE-2026-42945	Crítica	9.2	ngx_http_rewrite_module	Desbordamiento de búfer de montón → RCE
CVE-2026-42946	Alta	8.3	ngx_http_scgi/uwsgi_module	Asignación de ~1 TB → cierre inesperado (crash)
CVE-2026-40701	Media	6.3	ngx_http_ssl_module	Uso después de liberación (Use-after-free) vía OCSP
CVE-2026-42934	Media	6.3	ngx_http_charset_module	Lectura fuera de límites

La vulnerabilidad afecta a una amplia gama de productos F5/NGINX, incluyendo NGINX Open Source 0.6.27–1.30.0, NGINX Plus R32–R36, NGINX Instance Manager, NGINX App Protect WAF, NGINX Gateway Fabric y NGINX Ingress Controller.

Producto	Versiones Afectadas	Versión Parcheada
NGINX Plus	R32 – R36	R36 P1+ / R37+
NGINX Instance Manager	2.16.0 – 2.21.1	2.21.2+
F5 WAF for NGINX	5.9.0 – 5.12.1	5.12.2+
NGINX App Protect WAF	4.9.0 – 4.16.0 y 5.1.0 – 5.8.0	4.16.1+ / 5.8.1+
F5 DoS for NGINX	4.8.0	4.8.1+
NGINX App Protect DoS	4.3.0 – 4.7.0	4.7.1+
NGINX Gateway Fabric	1.3.0 – 1.6.2 y 2.0.0 – 2.5.1	1.6.3+ / 2.5.2+
NGINX Ingress Controller	3.5.0 – 3.7.2, 4.0.0 – 4.0.1, 5.0.0 – 5.4.1	3.7.3+ / 4.0.2+ / 5.4.2+

F5 publicó su aviso de seguridad oficial el 13 de mayo de 2026. Los administradores deben actualizar a NGINX 1.30.1 o 1.31.0 inmediatamente.

Las organizaciones que no puedan parchear de inmediato deben auditar las configuraciones en busca del uso combinado de las directivas rewrite + set y considerar la restricción de los despliegues expuestos de NGINX detrás de una capa de WAF adicional hasta que se complete la actualización.

Fuentes:
https://cybersecuritynews.com/18-year-old-nginx-rce-vulnerability/