Múltiples fallos de seguridad en NGINX permiten a atacantes remotos colapsar servidores y ejecutar código malicioso.

F5 ha revelado tres graves fallos de seguridad en NGINX Plus y NGINX Open Source que permiten a atacantes remotos no autenticados bloquear procesos de trabajo mediante el envío de solicitudes HTTP manipuladas.

En ciertas configuraciones, los errores de memoria también podrían permitir la ejecución de código, aunque F5 indica que para ello es necesario deshabilitar o eludir la aleatorización del espacio de direcciones (ASLR). Los tres problemas afectan al plano de datos de NGINX, que gestiona el tráfico de usuarios, y no a su plano de control.

Los fallos se identifican como CVE-2026-97205, CVE-2026-93479 y CVE-2026-15176. F5 publicó los tres avisos el 14 de octubre de 2026, calificando cada problema como Alto (8.1 según CVSS v3.1) y Crítico (9.2 según CVSS v4.0).

Estos fallos no hacen vulnerables a todos los servidores NGINX de forma predeterminada, ya que cada uno requiere una versión de software y una configuración específicas. Múltiples vulnerabilidades de NGINX

CVE-2026-97205 es una vulnerabilidad de uso de memoria liberada (use-after-free) en el módulo ngx_http_core_module. Puede activarse cuando la E/S de archivos asíncrona (AIO) está habilitada y NGINX procesa una página de Inclusiones del lado del servidor que contiene un comando virtual include.

El proceso de trabajo puede seguir utilizando memoria después de que esta se haya liberado, lo que puede provocar corrupción de memoria o un cierre inesperado del proceso. F5 reconoce al investigador de seguridad Cyberlanc3r el haber reportado el problema.

CVE-2026-93479 es un desbordamiento de búfer en el montón vinculado a la directiva map de NGINX y la coincidencia de expresiones regulares. Esta condición insegura puede aparecer cuando la directiva raíz o un formato de registro de acceso utiliza las variables de captura de expresiones regulares del mapa antes que la variable de salida del mapa.

Una ruta relacionada implica una variable no almacenable en caché utilizada en una expresión de cadena. Las solicitudes manipuladas pueden provocar que un proceso de trabajo escriba fuera del área de memoria asignada y se reinicie. F5 reconoce la labor de Matt Suiche de Tolmo y Mateusz Gierblinski por la divulgación coordinada de la vulnerabilidad.

CVE-2026-15176 es un desbordamiento de búfer de montón independiente en ngx_http_core_module. Afecta a un bloque de ubicación que combina alias con reescritura y una directiva de conjunto o retorno que hace referencia a $request_filename.

El mismo riesgo puede existir cuando $request_filename aparece en un registro de acceso. F5 afirma que un atacante remoto puede activar la vulnerabilidad sin autenticación, pero las condiciones necesarias del servidor quedan fuera de su control. La empresa descubrió este problema internamente.

El alcance afectado es amplio. Las vulnerabilidades CVE-2026-97205 y CVE-2026-15176 afectan a NGINX Open Source versiones 1.31.0 a 1.31.6 y 1.0.0 a 1.30.5, mientras que la línea 0.x anterior también figura en la lista de CVE-2026-15176. La vulnerabilidad CVE-2026-93479 tiene un rango de versiones de código abierto más limitado, de 1.31.2 a 1.31.6 y de 1.30.0 a 1.30.5. NGINX Plus versiones 37.0.0 a 37.0.4 se ve afectado por las tres vulnerabilidades.

Los productos relacionados, como NGINX Instance Manager, F5 WAF para NGINX, NGINX Gateway Fabric y algunas versiones de NGINX Ingress Controller, también se ven afectados.

Los administradores deben actualizar NGINX Open Source a la versión 1.31.7 o 1.30.6. Los usuarios de NGINX Plus de la línea 37.x deben actualizar a la versión 37.0.5.1 o 37.1.0.1.

Las versiones corregidas también incluyen NGINX Instance Manager 2.24.0, F5 WAF para NGINX 5.16.0 o 5.14.2, NGINX Gateway Fabric 2.8.0 y NGINX Ingress Controller 5.7.0. Algunas ramas antiguas no tienen actualizaciones, por lo que F5 recomienda actualizar a una rama compatible que incluya la corrección.

Cuando no sea posible aplicar los parches de una sola vez, los cambios de configuración pueden reducir el riesgo. Para la vulnerabilidad CVE-2026-97205, F5 recomienda deshabilitar AIO o SSI. Deshabilitar AIO puede reducir el rendimiento con archivos estáticos grandes o transmisión de contenido multimedia bajo carga intensa, mientras que deshabilitar SSI impide que NGINX procese las etiquetas SSI.

Para CVE-2026-93479, los administradores deben reemplazar las capturas de expresiones regulares sin nombre por capturas con nombre y utilizarlas únicamente dentro del bloque correspondiente. Para CVE-2026-15176, F5 recomienda evitar el uso de alias dentro de un bloque de ubicación y evitar $request_filename siempre que sea posible.

Los equipos deben ejecutar primero nginx -T para revisar la configuración activa completa, incluidos los archivos incluidos, y luego comparar la compilación instalada con cada aviso. Tras cualquier cambio, nginx -t puede comprobar la sintaxis antes de recargar la configuración. Estas comprobaciones son importantes porque la sola presencia de una versión afectada no demuestra que la configuración necesaria esté activa.