F5 alerta de dos vulnerabilidades críticas en NGINX Plus y NGINX Open Source que pueden permitir ejecutar código

Qué ha pasado

F5 ha dado a conocer dos fallos de corrupción de memoria en NGINX, ambos con una puntuación CVSS 9.2 (crítica). Los dos afectan al procesamiento del tráfico (plano de datos) y no al plano de control, y pueden explotarse a distancia sin credenciales, aunque solo cuando se dan determinadas condiciones de configuración.

En ambos casos, el efecto más probable es el reinicio o la caída del proceso worker de NGINX, es decir, una denegación de servicio. Además, un atacante podría ejecutar código en sistemas con ASLR (aleatorización del espacio de direcciones) desactivado o si consigue eludir esta protección.

• CVE-2026-93479 (CVSS 9.2): desbordamiento de búfer en el heap cuando una directiva map usa expresiones regulares y la directiva root o el formato del registro de acceso hacen referencia a las variables de captura de la regex antes que a la variable de salida del map. También puede desencadenarse, en ciertas condiciones, usando una variable no cacheable en una expresión de cadena. Se explota con peticiones HTTP manipuladas.
• CVE-2026-97205 (CVSS 9.2): uso de memoria liberada (use-after-free) en el módulo ngx_http_core_module cuando la E/S asíncrona de ficheros (AIO) está activada en ciertas configuraciones y se procesa una página SSI (Server Side Includes) con comandos "include virtual".

A quién afecta

Según las descripciones publicadas, los afectados son NGINX Plus y NGINX Open Source. El texto del aviso de F5 que hemos podido consultar no incluía el detalle de versiones afectadas ni de versiones corregidas, por lo que conviene revisarlo directamente en el portal del fabricante. F5 indica además que las versiones que ya han alcanzado el fin del soporte técnico (EoTS) no se han evaluado.

El riesgo real depende de la configuración: solo están expuestos los servidores que usan directivas map con expresiones regulares en las condiciones descritas, o que combinan AIO con páginas SSI que emplean "include virtual".

Estado de la explotación

Por ahora no consta explotación activa: ninguna de las dos vulnerabilidades figura en el catálogo KEV de CISA y no se conoce ningún exploit público. La complejidad del ataque se considera alta, ya que requiere condiciones que el atacante no controla. Aun así, la gravedad y la posibilidad de ejecución remota de código sin autenticación justifican actuar con prioridad.

Qué hacer

Recomendamos a los equipos de TI que gestionan NGINX tomar estas medidas lo antes posible:

• Consultar el aviso de F5 (artículo K000162607 para CVE-2026-93479 y K000162608 para CVE-2026-97205) y aplicar las versiones corregidas que indique el fabricante.
• Inventariar todas las instancias de NGINX Plus y NGINX Open Source, incluidas las integradas en balanceadores, proxies inversos y contenedores.
• Revisar las configuraciones: directivas map con regex cuyas variables de captura se usen en root o en log_format, y servidores con AIO activado que sirvan páginas SSI con "include virtual".
• Comprobar que ASLR está habilitado en los sistemas operativos que alojan NGINX, ya que dificulta la ejecución de código.
• Actualizar o retirar las versiones fuera de soporte técnico, que F5 no ha evaluado.
• Vigilar reinicios inesperados de los procesos worker de NGINX, que podrían indicar intentos de explotación.

Fuentes

• F5 security advisory K000162607 (NGINX)

Tecnologías afectadas

Vulnerabilidades (2)