Un fallo crítico ha sido identificado y parcheado en NGINX, el popular servidor web y proxy inverso. Designada como CVE-2026-42533, esta vulnerabilidad de desbordamiento de búfer de montón (heap buffer overflow) permite a un atacante remoto no autenticado desencadenar una denegación de servicio (DoS) o, en ciertos escenarios, la ejecución remota de código (RCE) a través de solicitudes HTTP maliciosas. F5, el proveedor de NGINX, ha liberado las correcciones correspondientes.
La falla reside en el motor de script de NGINX, específicamente en la lógica que ensambla cadenas a partir de directivas en tiempo de solicitud. Se activa bajo una configuración muy específica que combina una directiva map basada en expresiones regulares (regex) con una referencia a una variable de salida de esa map y una captura de una expresión regular anterior. Este patrón genera un desajuste en el proceso de evaluación de dos fases de NGINX, donde el tamaño del búfer se mide incorrectamente, permitiendo que un ataque sobrescriba datos en la memoria. La vulnerabilidad afecta a todas las versiones de NGINX desde la 0.9.6 hasta la 1.31.2, un rango que se extiende hasta el año 2011. F5 califica la vulnerabilidad con un CVSS v4 de 9.2 y un CVSS v3.1 de 8.1, señalando una complejidad de ataque alta. Sin embargo, un investigador independiente ha demostrado que la ejecución de código remoto es más directa de lo que F5 inicialmente sugiere, incluso en sistemas con ASLR activado.
Esta vulnerabilidad no afecta a todos los servidores NGINX, sino que depende de la configuración específica utilizada. Los productos NGINX Ingress Controller, Gateway Fabric, App Protect WAF e Instance Manager también se ven afectados, además del servidor NGINX core y NGINX Plus. Es crucial revisar sus configuraciones para identificar la presencia de patrones vulnerables, especialmente el uso de map con regex que referencian capturas numeradas ($1, $2) de expresiones regulares anteriores. Un escáner desarrollado por el investigador Stan Shaw (cyberstan) puede ayudar a identificar estas configuraciones específicas.
La solución definitiva es actualizar NGINX a las versiones 1.30.4 (estable) o 1.31.3 (mainline), o a NGINX Plus 37.0.3.1. Para aquellos que no puedan aplicar los parches de inmediato, F5 sugiere una mitigación temporal: cambiar las map con regex afectadas para usar capturas con nombre en lugar de capturas numeradas. No obstante, el investigador advierte que esta mitigación no es completa y deja una vía de ataque más estrecha aún abierta. Por tanto, la actualización a las versiones parcheadas es la única corrección integral para garantizar la seguridad.
Qué significa para tu empresa: La detección y protección contra este tipo de vulnerabilidades en infraestructura crítica, como NGINX, es vital. Una implementación robusta de un WAF para aplicaciones puede inspeccionar el tráfico HTTP y bloquear solicitudes maliciosas diseñadas para explotar fallas como CVE-2026-42533, incluso antes de que lleguen al servidor NGINX subyacente.
Fuente original: The Hacker News — ver artículo →