Una vulnerabilidad crítica en NGINX permite provocar caídas y, en ciertos casos, ejecutar código

Qué ha pasado

El 14 de octubre de 2026 se publicó en NVD la vulnerabilidad CVE-2026-15176, con una puntuación CVSS 9.2 (crítica). Se trata de un desbordamiento de memoria (heap buffer overflow) en el proceso de trabajo (worker) de NGINX que un atacante remoto y sin credenciales puede desencadenar mediante peticiones HTTP manipuladas.

La consecuencia más directa es que el proceso de trabajo se reinicia, lo que puede causar una denegación de servicio. Además, si el sistema tiene desactivada la aleatorización de direcciones de memoria (ASLR), o si el atacante consigue eludirla, podría llegar a ejecutar código en el servidor.

A quién afecta

Según la descripción publicada, afecta a NGINX Plus y NGINX Open Source, pero solo cuando la configuración reúne unas condiciones concretas. Los datos disponibles no detallan qué versiones están afectadas ni cuáles corrigen el fallo, y las versiones que ya han llegado al fin de su soporte técnico no se han evaluado.

El problema aparece en estos casos:

• Un bloque location que usa la directiva alias junto con rewrite y una directiva set o return que hace referencia a la variable $request_filename.
• Un formato de registro de acceso (log_format) que incluye la variable $request_filename.
• El fallo afecta solo al plano de datos (el tráfico que procesa NGINX); no expone el plano de control.

Estado de la explotación

Por ahora no consta explotación activa: la vulnerabilidad no figura en el catálogo KEV de CISA. La explotación tiene una complejidad alta, ya que requiere condiciones que el atacante no controla, pero eso no reduce la gravedad del posible impacto en los servidores con la configuración vulnerable.

Qué hacer

El fabricante no ha detallado todavía, en los datos de que disponemos, las versiones corregidas. Recomendamos actuar en paralelo sobre la configuración y las actualizaciones:

• Inventariar todos los servidores con NGINX Plus o NGINX Open Source, prestando especial atención a los expuestos a Internet.
• Revisar la configuración en busca de la variable $request_filename, tanto en bloques location con alias, rewrite y set o return como en las directivas log_format.
• Si se usa esa combinación, valorar eliminarla o sustituirla de forma temporal hasta poder aplicar una corrección.
• Comprobar que ASLR está activado en los sistemas operativos que ejecutan NGINX, ya que reduce mucho la posibilidad de ejecución de código.
• Seguir los avisos de seguridad de F5 para NGINX y aplicar la actualización en cuanto se publique.
• Vigilar reinicios inesperados de los procesos de trabajo de NGINX, que podrían indicar intentos de explotación.

Tecnologías afectadas

Vulnerabilidades (1)