F5 ha revelado tres vulnerabilidades de alta gravedad que afectan a NGINX Plus y NGINX Open Source. Se ha advertido que atacantes no autenticados podrían explotarlas para provocar la corrupción de la memoria, colapsar procesos de trabajo o, en el peor de los casos, ejecutar código arbitrario. Estas fallas afectan a componentes ampliamente utilizados, como el Ingress Controller, Gateway Fabric y App Protect.

F5 ha revelado tres vulnerabilidades de severidad alta que afectan a NGINX Plus y NGINX Open Source, advirtiendo que atacantes no autenticados podrían explotarlas para provocar la corrupción de la memoria, bloquear procesos de trabajo o, en el peor de los casos, ejecutar código arbitrario.

Las vulnerabilidades, publicadas el 15 de julio de 2026, afectan a componentes de NGINX ampliamente utilizados, incluidos el Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager.

CVE-2026-42533: Desbordamiento de búfer de montón (Heap Buffer Overflow)

La más grave de las tres, la CVE-2026-42533, tiene una puntuación CVSS v3.1 de 8.1 (Alta) y una puntuación CVSS v4.0 de 9.2 (Crítica). Se deriva de cómo la directiva map gestiona la coincidencia de expresiones regulares cuando una expresión de cadena hace referencia a variables de captura antes de la variable de salida del mapa. Un atacante puede enviar solicitudes HTTP manipuladas para provocar un desbordamiento de búfer de montón (CWE-122) en el proceso de trabajo de NGINX.

Además de bloquear el servicio, F5 advierte que los atacantes podrían lograr la ejecución de código en sistemas donde la Aleatorización del Diseño del Espacio de Direcciones (ASLR) esté desactivada o haya sido evitada. F5 recomienda cambiar a capturas de regex con nombre en lugar de las que no tienen nombre como medida de mitigación.

CVE-2026-60005: Divulgación de memoria no inicializada

Este fallo (CVSS 8.2/8.8) afecta al ngx_http_slice_module, que no está habilitado por defecto y requiere el flag de compilación --with-http_slice_module.

Cuando la directiva slice se combina con capturas de regex sin nombre, o durante las actualizaciones de caché en segundo plano, los atacantes pueden acceder a la memoria no inicializada, provocando una fuga de datos limitada o el reinicio de un proceso de trabajo. La mitigación consiste, nuevamente, en utilizar capturas con nombre.

CVE-2026-56434: Uso posterior a la liberación (Use-After-Free)

Calificado como Medio/Alto (6.5 CVSS v3.1, 8.3 CVSS v4.0), este error afecta al ngx_http_ssi_module cuando se utilizan las Inclusiones del Lado del Servidor (SSI) junto con proxy_pass y proxy_buffering off.

Un atacante de tipo "man-in-the-middle" que controle las respuestas upstream podría provocar un uso posterior a la liberación (CWE-416), lo que llevaría a una modificación limitada de la memoria o a un bloqueo. No existe ninguna mitigación más allá de aplicar el parche.

Las tres vulnerabilidades afectan a la misma gama de productos:

• NGINX Plus (37.x): corregido en la versión 37.0.3.1
• NGINX Open Source (1.x): corregido en 1.31.3 / 1.30.4
• NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager también están afectados; las correcciones se están implementando por rama (algunas ramas aún esperan parches)

Cabe destacar que BIG-IP, BIG-IQ, F5 Distributed Cloud, F5OS y F5 AI Gateway no son vulnerables; los problemas se limitan a los componentes del plano de datos de NGINX.

NGINX impulsa una parte masiva de la infraestructura orientada a internet, lo que convierte a estos fallos en objetivos atractivos para atacantes oportunistas, especialmente la CVE-2026-42533 dado su potencial de ejecución de código.

Si gestionas despliegues afectados de NGINX Plus, Ingress Controller o Gateway Fabric, debes priorizar la aplicación de los parches inmediatamente, sobre todo si utilizas activamente directivas map con capturas de regex o el módulo SSI.

F5 agradeció a más de una docena de investigadores independientes —incluyendo equipos de AntAISecurityLab, EVO.company y Vodafone Türkiye— por divulgar responsablemente la CVE-2026-42533, mientras que la CVE-2026-60005 fue hallada internamente y la CVE-2026-56434 fue reportada por el investigador p4p3r.

Fuentes:
https://cybersecuritynews.com/f5-patches-multiple-nginx-vulnerabilities/