Las cinco fallas
| CVE | Qué es | Cuándo aplica |
|---|---|---|
| CVE-2026-15176 | Desbordamiento de memoria | Un location con alias junto a rewrite y un set o return que use $request_filename |
| CVE-2026-97205 | Uso de memoria liberada | E/S asíncrona de archivos (AIO) con Server Side Includes (SSI) |
| CVE-2026-93479 | Desbordamiento en la directiva map con capturas de expresión regular |
nginx 1.31.2 a 1.31.6 y 1.30.0 a 1.30.5 |
| CVE-2026-95101 | En HTTP/3, nginx puede agregar bytes extra al reenviar al backend | Solo con HTTP/3 activado |
| CVE-2026-97629 | Rotación de claves de tickets de sesión TLS | Solo con tickets de sesión TLS |
Las tres críticas pueden provocar la caída del proceso trabajador y, en ciertas condiciones, ejecución de código, sin autenticación y bajo configuraciones no predeterminadas. Hasta el 21 de octubre no había reportes de explotación en estado real.
Cómo comprobar si te afecta
- Versión:
nginx -v. Quedan corregidas 1.31.7 y 1.30.6. - Configuración completa, incluyendo archivos incluidos:
nginx -T > nginx-full.conf. - Busca los patrones de riesgo:
grep -nE 'alias|request_filename|ssi |aio |map |http3|quic|ssl_session_tickets' nginx-full.conf. - Revisa si hubo reinicios de procesos trabajadores antes del parche: tanto CVE-2026-15176 como CVE-2026-93479 los provocan, y un ciclo de caídas puede pasar por falla de recursos.
El punto 2 es el que más se salta: nginx -T imprime la configuración efectiva, con todos los include resueltos. Revisar a mano el archivo principal deja fuera, justamente, los fragmentos donde suelen estar alias y map.
Cómo corregirlo
Actualiza a 1.31.7 (rama principal) o 1.30.6 (rama estable). Si usas nginx Plus, Ingress Controller o productos de F5 basados en nginx, aplica las versiones que indique F5 en su aviso del 14 de octubre.
Después de actualizar, valida y recarga sin cortar el servicio: nginx -t && systemctl reload nginx. Una recarga no aplica cambios de binario, así que si el paquete se instaló pero el proceso sigue siendo el anterior, reinicia el servicio.
Si no puedes actualizar ahora
- CVE-2026-15176: evita usar
aliasdentro de unlocationo la variable$request_filename. - CVE-2026-97205: desactiva AIO o SSI.
Estas medidas vienen del aviso de la agencia de ciberseguridad de Singapur y reducen riesgo, no reemplazan el parche. Prueba los cambios en un entorno equivalente antes de aplicarlos en producción: reescribir alias mal puede dejar rutas sirviendo archivos que no debían ser públicos.
Contexto: no es la primera de este año
En mayo una falla distinta, CVE-2026-42945, comenzó a ser explotada desde el 16 de ese mes. Por eso conviene tratar el parcheo de nginx como rutina, no como emergencia: saber la versión, tener la configuración versionada y poder actualizar sin sorpresas.