Las fallas de NGINX ya tienen parches de seguridad, y tres de ellas abren una ruta para tumbar procesos del servidor o ejecutar código si la configuración deja la puerta entreabierta. NGINX, el programa que atiende páginas, actúa como proxy inverso y reparte tráfico en millones de sitios, recibió el 14 de octubre las versiones 1.30.6 y 1.31.7 para cerrar cinco errores.
F5, la empresa responsable de NGINX, puntuó los tres errores de memoria con 9,2 en CVSS v4.0, el Sistema Común de Puntuación de Vulnerabilidades, que ordena la gravedad de 0 a 10. Una nota así entra en zona crítica, aunque cada error exige una combinación concreta de directivas para poder explotarse.
The Hacker News publicó el detalle completo. Ningún ataque confirmado aparecía en los reportes de F5 ni de NGINX al 15 de octubre, y ninguna figuraba en el catálogo de vulnerabilidades explotadas de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos en esa fecha. Ese respiro, corto, es el margen útil para parchear.
Cinco fallas de NGINX, tres con la memoria rota
El error más antiguo lleva código CVE-2026-15176 y afecta desde la versión 0.1.29 hasta la 1.31.6. Aparece en una ubicación que junta alias y rewrite con una lectura de $request_filename. El resultado es un desbordamiento de memoria que puede cerrar un proceso de trabajo. Si la protección ASLR, distribución aleatoria del espacio de direcciones, está desactivada o el atacante logra esquivarla, el cierre puede pasar a ejecución de código.
Otra pieza del grupo, CVE-2026-93479, nace en las expresiones regulares de la directiva map. Afecta a las ramas 1.30.0 a 1.30.5 y 1.31.2 a 1.31.6, y se activa cuando root o el formato de registro mencionan las capturas antes que la variable de salida del propio map. Orden de palabras, en apariencia menor. En memoria, ese orden basta para desbordar el espacio reservado.
CVE-2026-97205 completa el trío con nota 9,2. Es un uso de memoria ya liberada ligado a la entrada y salida asíncrona de archivos, la opción aio, cuando una página con inclusiones del lado del servidor usa comandos de inclusión virtual. Un contador de operaciones pendientes puede dar la vuelta y dejar libre una solicitud que otros procesos todavía apuntan. Van afectadas de 0.8.11 a 1.31.6.
Las dos fallas restantes miran a la conexión. CVE-2026-95101 permite meter bytes extra en una petición HTTP/3 que NGINX pasa al servidor interno, incluso por encima del límite de tamaño fijado para el cuerpo. CVE-2026-97629 toca TLS, Seguridad de la Capa de Transporte, y puede permitir una sesión falsificada capaz de saltarse la verificación del certificado del cliente, en condiciones que F5 describe como no deterministas y fuera del control del atacante.
La configuración manda tanto como la versión
Revisar solo el número de versión deja el trabajo a mitad. Cada falla necesita una directiva concreta: alias con rewrite, un map con expresiones regulares, aio junto a inclusiones del lado del servidor, una caché compartida de sesiones TLS o HTTP/3 con el almacenamiento temporal de peticiones activado. Varias aparecen en ejemplos oficiales y en servidores montados hace años.
El caso TLS merece una pausa. Desde la versión 1.23.2, de octubre de 2022, NGINX rota por sí solo las claves de los boletos de sesión cuando se usa la caché compartida sin cargar claves desde un archivo. La rotación copiaba dos espacios y dejaba el tercero con material viejo en memoria. Un boleto que apuntara a ese espacio podía verificarse con ese material sin inicializar. F5 lo contó en los avisos enlazados por The Hacker News.
Para quien no pueda actualizar en el acto, F5 dejó atajos temporales. Quitar alias o dejar de usar $request_filename tapa la primera. Emplear capturas con nombre reduce la segunda. Apagar aio corta la tercera, desactivar el almacenamiento temporal frena la de HTTP/3 y retirar la caché compartida ataca la quinta. Son remiendos de paso. eSecurity Planet informó de la misma salida y coincidió en el gesto práctico: imprimir la configuración en ejecución con nginx -T y buscar esas cinco combinaciones, también en subdominios olvidados y contenedores viejos.
Versiones con el arreglo, fechas y productos de F5
La salida limpia queda en dos números. La rama estable sube a 1.30.6 y la rama principal a 1.31.7, ambas del 14 de octubre. NGINX solo publica correcciones para esas dos ramas, así que una rama anterior, como la 1.28, sigue dentro de los rangos afectados. Con paquetes de una distribución de Linux, el arreglo vale cuando esa distribución ya trasladó el parche a su propio paquete.
Clientes de NGINX Plus y de productos de F5 como Ingress Controller, Gateway Fabric e Instance Manager deben mirar el aviso propio de cada producto. The Hacker News advirtió que, al 15 de octubre, varios de esa familia todavía no tenían una compilación corregida listada.
Un antecedente explica la prisa: el desbordamiento del módulo de reescritura corregido en mayo, CVE-2026-42945, empezó a explotarse a los pocos días de hacerse público, y VulnCheck lo documentó. Esta salida es la octava publicación de seguridad de NGINX en 2026.
Queda un dato concreto: si la configuración usa esas cinco combinaciones, la actualización a 1.30.6 o 1.31.7 pasa de tarea de mantenimiento a tarea de hoy. Las fallas de NGINX no necesitan que el servidor sea famoso para importar, y los parches de seguridad ya están publicados desde el 14 de octubre.
Fuente: The Hacker News
Foto: The Hacker News
La entrada Fallas de NGINX: parches de seguridad con nota 9,2 se publicó primero en Tecnología Geek.