La empresa F5 ha lanzado un paquete de parches de seguridad de emergencia y fuera de banda (out-of-band) para abordar una serie de vulnerabilidades de seguridad descubiertas en el popular servidor web NGINX, entre las que se incluyen tres fallos de gravedad crítica que otorgan a los atacantes la capacidad de ejecutar código malicioso en los sistemas afectados bajo ciertas condiciones de configuración.
Las tres vulnerabilidades críticas se centran en el módulo ngx_http_v3_module y llevan los códigos (CVE-2026-15176) y (CVE-2026-97205), además de otro fallo relacionado con la directiva de mapas de NGINX NGINX map directive bajo el código (CVE-2026-93479). Los detalles del informe técnico indican que los atacantes no autorizados con acceso a la red pueden explotar estas vulnerabilidades para realizar ataques de denegación de servicio (DoS) o lograr la ejecución de código en los procesos activos del servidor NGINX, especialmente en sistemas con configuraciones no predeterminadas o donde las técnicas de protección como la aleatorización de la disposición del espacio de direcciones (ASLR) estén deshabilitadas.
Productos afectados y opciones de mitigación temporal
La lista de software afectado por estas vulnerabilidades incluye varias versiones y productos principales de la compañía, tales como NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric, además de NGINX Instance Manager. En caso de que los equipos de seguridad y los administradores de sistemas no puedan aplicar las actualizaciones de software de inmediato, la empresa ha proporcionado alternativas temporales para mitigar los riesgos:
- Vulnerabilidad CVE-2026-15176: Se puede mitigar evitando el uso de la directiva alias dentro del bloque de ubicación (location block) o prescindiendo de la variable $request_filename.
- Vulnerabilidad CVE-2026-97205: Se mitiga deshabilitando la E/S de archivos asíncrona (AIO) o la característica de inclusión en el lado del servidor (SSI).
- Vulnerabilidad CVE-2026-93479: Se puede evitar recurriendo a capturas con nombre (named captures) en lugar de capturas sin nombre y limitando su uso estrictamente al bloque de coincidencia de expresiones regulares (regex).
¿Qué cambia en la práctica para las organizaciones?
A pesar de no haberse registrado casos de explotación activa de estas vulnerabilidades en la actualidad dentro de los ciberataques de campo, la arquitectura de los servidores NGINX y los productos relacionados los ha convertido en un objetivo frecuente para los actores de amenazas cibernéticas patrocinados por estados y bandas de ransomware en los últimos años, donde los ataques anteriores apuntaron a redes corporativas, la intrusión en dispositivos y la filtración de datos sensibles.