F5 ha revelado tres fallos de seguridad graves en NGINX Plus y NGINX Open Source. Estas vulnerabilidades permiten que atacantes remotos y no autenticados provoquen la caída de los procesos de trabajo mediante el envío de solicitudes HTTP manipuladas. En configuraciones específicas, estos errores de memoria podrían permitir la ejecución de código, aunque F5 indica que esto solo ocurriría si la función ASLR (aleatorización del diseño del espacio de direcciones) estuviera desactivada.

F5 ha revelado tres fallos de seguridad graves en NGINX Plus y NGINX Open Source que pueden permitir que atacantes remotos y no autenticados provoquen la caída de los procesos trabajadores mediante el envío de solicitudes HTTP manipuladas.

En ciertas configuraciones, los errores de memoria también podrían permitir la ejecución de código, aunque F5 afirma que ese resultado requiere que la Aleatorización del Diseño del Espacio de Direcciones, conocida como ASLR, esté desactivada o sea evitada. Los tres problemas afectan al plano de datos de NGINX, que gestiona el tráfico de usuarios, en lugar de a su plano de control.

Los fallos están registrados como CVE-2026-97205, CVE-2026-93479 y CVE-2026-15176. F5 publicó los tres avisos el 14 de octubre de 2026 y calificó cada problema como Alto con 8.1 según CVSS v3.1 y Crítico con 9.2 según CVSS v4.0.

Los errores no hacen que todos los servidores NGINX sean vulnerables por defecto, ya que cada uno necesita una versión de software y una configuración específica.

Múltiples Vulnerabilidades de NGINX

CVE-2026-97205 es un fallo de tipo use-after-free en ngx_http_core_module. Puede activarse cuando la E/S de archivos asíncrona, o AIO, está habilitada y NGINX procesa una página de Server Side Includes que contiene un comando include virtual.

El trabajador puede seguir utilizando la memoria después de que esta haya sido liberada, lo que provoca la corrupción de la memoria o el cierre inesperado del trabajador. F5 otorga el crédito al investigador de seguridad Cyberlanc3r por informar del problema.

CVE-2026-93479 es un desbordamiento de búfer de montículo (heap buffer overflow) vinculado a la directiva map de NGINX y a la coincidencia de expresiones regulares. La condición insegura puede aparecer cuando la directiva root o un formato de registro de acceso utiliza las variables de captura regex del mapa antes de la variable de salida del mapa.

Una ruta relacionada implica una variable no cacheable utilizada en una expresión de cadena. Las solicitudes manipuladas pueden entonces hacer que un trabajador escriba más allá del área de memoria asignada y se reinicie. F5 otorga el crédito a Matt Suiche de Tolmo y a Mateusz Gierblinski por la divulgación coordinada.

CVE-2026-15176 es un desbordamiento de búfer de montículo independiente en ngx_http_core_module. Afecta a un bloque de ubicación que combina alias con rewrite y una directiva set o return que hace referencia a $request_filename.

El mismo riesgo puede existir cuando $request_filename aparece en un log_format de acceso. F5 dice que un atacante remoto puede activar el fallo sin autenticación, pero las condiciones requeridas en el servidor permanecen fuera del control del atacante. La empresa encontró este problema internamente.

El rango afectado es amplio. CVE-2026-97205 y CVE-2026-15176 afectan a NGINX Open Source desde la 1.31.0 hasta la 1.31.6 y desde la 1.0.0 hasta la 1.30.5, mientras que la línea más antigua 0.x también figura para CVE-2026-15176. CVE-2026-93479 tiene un rango de código abierto más estrecho, de la 1.31.2 a la 1.31.6 y de la 1.30.0 a la 1.30.5. NGINX Plus desde la 37.0.0 hasta la 37.0.4 se ve afectado por los tres errores.

Productos relacionados, incluyendo NGINX Instance Manager, F5 WAF para NGINX, NGINX Gateway Fabric y algunas versiones de NGINX Ingress Controller, también están afectados.

Tú, como administrador, deberías actualizar NGINX Open Source a la 1.31.7 o 1.30.6. Los usuarios de NGINX Plus en la línea 37.x deberían pasar a la 37.0.5.1 o 37.1.0.1.

Las versiones corregidas también incluyen NGINX Instance Manager 2.24.0, F5 WAF para NGINX 5.16.0 o 5.14.2, NGINX Gateway Fabric 2.8.0 y NGINX Ingress Controller 5.7.0. Algunas ramas más antiguas no tienen actualización, por lo que F5 te aconseja moverte a una rama soportada que contenga la corrección.

Cuando no puedas parchear de inmediato, los cambios de configuración pueden reducir el riesgo. Para CVE-2026-97205, F5 recomienda desactivar AIO o SSI. Desactivar AIO puede reducir el rendimiento de archivos estáticos grandes o el streaming de medios bajo carga pesada, mientras que desactivar SSI impide que NGINX procese las etiquetas SSI.

Para CVE-2026-93479, deberías reemplazar las capturas de regex sin nombre por capturas con nombre y utilizarlas solo dentro del bloque de coincidencia. Para CVE-2026-15176, F5 recomienda evitar el uso de alias dentro de un bloque de ubicación y evitar $request_filename siempre que sea posible.

Tu equipo debería ejecutar primero nginx -T para revisar la configuración activa completa, incluyendo los archivos incluidos, y luego comparar la compilación instalada con cada aviso. Después de cualquier cambio, puedes usar nginx -t para verificar la sintaxis antes de que se recargue la configuración. Estas comprobaciones son importantes porque la sola presencia de una versión afectada no demuestra que la configuración necesaria esté activa.

Esta divulgación sigue a otras correcciones de seguridad de memoria de NGINX en 2026. Anteriormente se informaron tres fallos de NGINX que involucraban desbordamiento de montículo, divulgación de memoria y condiciones de use-after-free, así como un grupo previo de errores de NGINX que podrían causar la ejecución de código o la denegación de servicio.

Los avisos de F5 no informan de una explotación activa de estos tres fallos recién revelados. Aun así, deberías revisar rápidamente tus sistemas NGINX expuestos a internet, ya que una solicitud exitosa puede reiniciar los trabajadores e interrumpir el servicio, mientras que una evasión de ASLR efectiva podría elevar el impacto a la ejecución de código.

Aplicar la versión corregida sigue siendo la respuesta más sólida porque las soluciones alternativas solo cubren las rutas de configuración inseguras conocidas.

Fuentes:
https://cybersecuritynews.com/multiple-nginx-vulnerabilities/