F5 publicó parches fuera de ciclo para varias fallas en NGINX, entre ellas tres que la compañía califica como críticas: CVE-2026-15176, CVE-2026-97205 y CVE-2026-93479. Un atacante remoto y sin privilegios podría tumbar el proceso de NGINX y, en ciertos casos, ejecutar código, pero solo en configuraciones no predeterminadas. Hasta ahora F5 no las ha marcado como explotadas.
NGINX está detrás de portales web, APIs, proxies inversos e ingress de Kubernetes en muchas empresas colombianas. En esta guía te contamos qué se sabe, por qué hay dos calificaciones de severidad distintas y qué revisar hoy en tus servidores.
Qué corrigió F5 en NGINX
Según BleepingComputer, la explotación provoca un desbordamiento de búfer en el heap o un use-after-free en el proceso worker de NGINX, lo que lleva a una caída o un reinicio (denegación de servicio). F5 advierte además que el atacante podría ejecutar código en sistemas con ASLR desactivado o cuando logre evadir ASLR.
- CVE-2026-15176: nginx.org la describe como un desbordamiento de búfer al usar
aliasjunto conrewrite. Versiones Open Source vulnerables: 0.1.29 a 1.31.6. - CVE-2026-97205: use-after-free al usar E/S de archivos asíncrona (AIO). Versiones vulnerables: 0.8.11 a 1.31.6.
- CVE-2026-93479: desbordamiento de búfer en la evaluación de scripts, relacionado con la directiva
map. Versiones vulnerables: 1.31.2 a 1.31.6 y 1.30.0 a 1.30.5.
En NGINX Open Source, las tres quedan corregidas en 1.31.7 o superior y 1.30.6 o superior. F5 también publicó parches para NGINX Plus, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager. Esas mismas versiones de nginx.org corrigen otras dos fallas de severidad media (CVE-2026-95101 en HTTP/3 y CVE-2026-97629 en tickets de sesión TLS), así que actualizar resuelve todo el paquete.
¿Críticas o medias? Por qué hay dos calificaciones
Si revisas las fuentes verás una diferencia: F5 califica las tres fallas como críticas, mientras que la página de avisos de seguridad de nginx.org las marca como de severidad media para NGINX Open Source. No es un error de lectura: son dos evaluaciones publicadas por fuentes oficiales. Una explicación razonable es que el daño depende mucho de la configuración: solo se pueden explotar si usas ciertas funciones que no vienen activas por defecto, y la ejecución de código exige que ASLR esté desactivado o sea evadido.
Nuestra recomendación práctica: no te quedes con la etiqueta. Revisa si tu configuración usa esas funciones. Si las usa, trata la actualización como urgente. Si no las usa, actualiza igual en tu siguiente ventana de mantenimiento, sin dejarlo para después.
Mitigaciones si no puedes parchear hoy
F5 ofrece medidas temporales para cada falla, según BleepingComputer:
- CVE-2026-15176: no usar la directiva
aliasen un bloquelocationni la variable$request_filename. - CVE-2026-97205: desactivar la E/S asíncrona (
aio) o Server Side Includes (ssi). - CVE-2026-93479: usar capturas con nombre en lugar de capturas sin nombre y limitar su uso al bloque donde está la expresión regular.
Antes de cambiar la configuración en producción, prueba el cambio y valida que tu sitio o API siga funcionando. Una mitigación es temporal; el arreglo definitivo es actualizar.
Cómo revisar tus servidores NGINX paso a paso
- Revisa la versión: en cada servidor ejecuta
nginx -v. Si ves una versión anterior a 1.30.6 en la rama 1.30, o anterior a 1.31.7 en la rama 1.31, necesitas actualizar. Connginx -Vves además los módulos con que fue compilado. - Haz inventario: lista todo lo que corre NGINX, no solo los servidores web visibles. Incluye proxies inversos, balanceadores, contenedores, clústeres con NGINX Ingress Controller o NGINX Gateway Fabric, NGINX Plus y appliances de terceros que lo incluyan.
- Revisa la configuración: busca el uso de las funciones afectadas, por ejemplo con
nginx -T | grep -nE "alias|request_filename|aio|ssi|map". Así sabes qué servidores tienen más prioridad. - Parchea o mitiga: actualiza a NGINX Open Source 1.31.7+ o 1.30.6+, o a la versión corregida que indique F5 para NGINX Plus y sus otros productos. Si no puedes hacerlo ya, aplica la mitigación correspondiente y agenda la actualización.
- Monitorea: vigila reinicios inesperados de procesos worker y errores en los logs de NGINX, que pueden ser señal de intentos de explotación. Mantén ASLR activo en el sistema operativo.
Por qué importa para las empresas colombianas
F5 no reporta explotación de estas fallas, pero según BleepingComputer, desde noviembre de 2021 CISA ha marcado ocho vulnerabilidades de F5 como explotadas activamente, cuatro de ellas en ataques de ransomware. Y la experiencia muestra que cuando sale un parche, los atacantes empiezan a estudiarlo. Para muchas empresas de la región, el problema no es aplicar el parche, sino saber dónde está NGINX: un contenedor olvidado o un proxy que montó un proveedor puede quedar por fuera del inventario durante meses.
Cómo te ayuda NESS
NESS Unified IT Defense reúne en un solo agente gestión de parches, inventario de activos y monitoreo de infraestructura, junto con NESS Endpoint Protection y su motor antimalware propio. Así sabes qué servidores tienes, qué versión corre cada uno y si algo empieza a comportarse raro. Todo se licencia con NESS Enterprise.
Preguntas frecuentes
¿Mi NGINX es vulnerable si uso la configuración por defecto?
Según F5, la explotación requiere configuraciones no predeterminadas, como el uso de alias, AIO, SSI o ciertas capturas en expresiones regulares. Igual conviene actualizar.
¿Qué versión de NGINX Open Source debo instalar?
La 1.31.7 o superior, o la 1.30.6 o superior, según la rama que uses.
¿Están siendo explotadas?
F5 no las ha marcado como explotadas en el mundo real a la fecha de la publicación de BleepingComputer (19 de octubre de 2026).
¿Por qué nginx.org dice severidad media y F5 dice crítica?
Son evaluaciones distintas de dos fuentes oficiales. El riesgo real depende de tu configuración; por eso recomendamos revisarla y actualizar.
¿Afecta a Kubernetes?
F5 publicó parches para NGINX Ingress Controller y NGINX Gateway Fabric, así que revisa también tus clústeres.
No esperes al próximo parche urgente
Agenda una demo de NESS y mantén parcheo, visibilidad y monitoreo desde un solo agente.
