Se ha revelado una vulnerabilidad denominada nginx-poolslip (CVE-2026-9256) que afecta tanto a NGINX Plus como a NGINX Open Source. Este fallo puede ser explotado por un atacante remoto no autenticado a través de HTTP, permitiendo ataques de denegación de servicio (DoS) y la ejecución de código, por lo que se insta a los administradores a aplicar los parches de emergencia inmediatamente.

Un fallo recién revelado en uno de los servidores web más desplegados del mundo está obligando a los administradores a entrar en otro ciclo de parches de emergencia.

Rastreada como CVE-2026-9256 y apodada públicamente como nginx-poolslip, la vulnerabilidad afecta tanto a NGINX Plus como a NGINX Open Source, y puede ser activada por un atacante remoto no autenticado a través de HTTP simple.

La vulnerabilidad reside en el ngx_http_rewrite_module, el mismo componente implicado en el reciente fallo "NGINX Rift" (CVE-2026-42945).

Según el aviso de F5, la condición surge cuando una directiva de reescritura utiliza un patrón regex con grupos de captura PCRE distintos y superpuestos, como ^/((.*))$ emparejado con una cadena de reemplazo que hace referencia a capturas múltiples, como $1$2 en un contexto de redirección o argumentos.

Bajo estas condiciones, un atacante que envíe solicitudes manipuladas puede provocar un desbordamiento de búfer de montón (CWE-122) en el proceso trabajador de NGINX. NGINX utiliza un grupo de memoria dedicado para cada solicitud y lo libera todo a la vez cuando la solicitud finaliza.

Dentro de esa estructura de grupo, NGINX mantiene una lista enlazada de controladores de limpieza, y si un atacante puede sobrescribir o redirigir ese puntero del controlador, la destrucción del grupo se convierte en una oportunidad para secuestrar el flujo de control.

Mientras que el error Rift anterior abusaba de un error de cálculo del tamaño del búfer, poolslip provoca un "deslizamiento" controlado del puntero a través de estructuras enlazadas adyacentes en el mismo grupo, mediante una ruta de código diferente hacia el mismo objetivo de corrupción.

Crucialmente, los investigadores confirmaron que el parche para el fallo anterior no logró remediar la superficie de ataque del grupo de memoria subyacente, dejando la puerta abierta para que surgiera poolslip en el código actualizado.

Como mínimo, la explotación provoca la caída y el reinicio del proceso trabajador, produciendo una condición de denegación de servicio. Más gravemente, la ejecución de código es posible en sistemas donde la Aleatorización del Diseño del Espacio de Direcciones (ASLR) esté desactivada o donde un atacante pueda evadirla.

F5 señala que no hay exposición del plano de control; se trata estrictamente de un problema del plano de datos. El fallo tiene una calificación de Alta/8.1 (CVSS v3.1) y Crítica/9.2 (CVSS v4.0).

Dada la ubicuidad de NGINX en proxies inversos, puertas de enlace de API y controladores de entrada de Kubernetes, la huella expuesta es enorme.

Versiones Afectadas y Soluciones

NGINX Open Source desde 0.1.17 hasta 1.30.1 y 1.31.0 son vulnerables; actualiza a 1.30.2 o 1.31.1. Los usuarios de NGINX Plus en R32–R36 deben pasar a R36 P5 o R32 P7, y los usuarios de 37.x a R37.0.1.1.

Producto	Versiones Vulnerables	Versiones Corregidas
NGINX Plus	37.0.0 R32 – R36	37.0.1.1 R36 P5, R32 P7
NGINX Open Source	1.31.0 1.0.0 – 1.30.1 0.1.17 – 0.9.7	1.31.1 1.30.2 No se corregirá
NGINX Instance Manager	2.17.0 – 2.22.0	Ninguna
F5 WAF para NGINX	5.9.0 – 5.13.0	Ninguna
NGINX App Protect WAF	5.2.0 – 5.8.0 4.10.0 – 4.16.0	Ninguna Ninguna
F5 DoS para NGINX	4.9.0	Ninguna
NGINX App Protect DoS	4.3.0 – 4.7.0	Ninguna
NGINX Gateway Fabric	2.0.0 – 2.6.1 1.3.0 – 1.6.2	Ninguna Ninguna
NGINX Ingress Controller	5.0.0 – 5.4.2 4.0.0 – 4.0.1 3.5.0 – 3.7.2	Ninguna Ninguna Ninguna
NGINX (todos los demás productos)	Ninguna	No aplicable

Los productos derivados, incluidos NGINX Instance Manager, F5 WAF para NGINX, NGINX App Protect (WAF y DoS), NGINX Gateway Fabric y NGINX Ingress Controller, heredan los componentes vulnerables y deben actualizarse a medida que se publiquen las correcciones. La rama 0.x no será corregida.

Si no es factible aplicar el parche de inmediato, F5 recomienda sustituir las capturas sin nombre por capturas con nombre en cada directiva de reescritura afectada. Por ejemplo, reescribe las referencias $1 y $2 como (?<user_id>...) y (?<section>...), referenciadas por nombre en la cadena de reemplazo.

El fallo fue acreditado a Mufeed VH de Winfunc Research, Nebula Security y Vexera AI. Con la actividad de prueba de concepto ya circulando, tu organización debería aplicar el parche sin demora.

Fuentes:
https://cybersecuritynews.com/nginx-poolslip-vulnerability/