F5 publica parches de emergencia para tres vulnerabilidades críticas en NGINX

F5 ha publicado parches de seguridad out-of-band (OOB) que corrigen tres vulnerabilidades críticas en NGINX, su software de entrega de aplicaciones y control de tráfico. Las fallas, que afectan a NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager, podrían permitir a atacantes remotos provocar desbordamientos de búfer en el heap del proceso worker, causar denegación de servicio (DoS) y, en determinadas condiciones, ejecutar código remoto (RCE). El impacto potencial compromete la confidencialidad, integridad y disponibilidad de los servicios expuestos.

CVE y severidad

  • CVE-2026-15176 — Severidad: Crítica. CVSS 4.0: 9.2. Vulnerabilidad en ngx_http_core_module que puede provocar un desbordamiento de búfer en el heap del proceso worker, con posible caída del sistema, DoS o ejecución de código cuando ASLR está deshabilitado o es omitido.
  • CVE-2026-97205 — Severidad: Crítica. CVSS 4.0: 9.2. Vulnerabilidad en ngx_http_core_module con impacto similar: desbordamiento de búfer en el heap, DoS y posible ejecución de código si ASLR está deshabilitado o es omitido.
  • CVE-2026-93479 — Severidad: Crítica. CVSS 4.0: 9.2. Falla en la directiva map que permite a atacantes enviar solicitudes HTTP manipuladas para provocar un desbordamiento de búfer en el heap y, potencialmente, ejecución de código.

F5 indica que no existe evidencia de explotación activa en la naturaleza, aunque recomienda instalar las versiones corregidas con carácter prioritario.

Productos afectados

Producto Rama CVE-2026-15176 CVE-2026-97205 CVE-2026-93479 Corregido en
NGINX Plus 37.x 37.0.0 – 37.0.4 37.0.0 – 37.0.4 37.0.0 – 37.0.4 37.0.5.1 / 37.1.0.1
NGINX Plus Rx R33 – R36 R33 – R36 R33 – R36 Sin parche (migrar a 37.x corregida)
NGINX Open Source 1.x 1.0.0 – 1.30.5 y 1.31.0 – 1.31.6 1.30.0 – 1.30.5 y 1.31.0 – 1.31.6 1.30.0 – 1.30.5 y 1.31.2 – 1.31.6 1.30.6 / 1.31.7
NGINX Open Source 0.x 0.1.29 – 0.9.9 — — Sin parche (migrar a 1.x)
NGINX Instance Manager 2.x 2.18.0 – 2.23.0 2.18.0 – 2.23.0 2.18.0 – 2.23.0 2.24.0
F5 WAF for NGINX 5.x 5.9.0 – 5.15.0 5.9.0 – 5.15.0 5.9.0 – 5.15.0 5.14.2 / 5.16.0
NGINX App Protect WAF 5.x 5.4.0 – 5.8.0 5.4.0 – 5.8.0 — Sin parche
NGINX App Protect WAF 4.x 4.12.0 – 4.16.0 4.12.0 – 4.16.0 — Sin parche
F5 DoS for NGINX 4.x 4.8.0 – 4.10.0 4.8.0 – 4.10.0 4.8.0 – 4.10.0 4.11.0
NGINX App Protect DoS 4.x 4.5.0 – 4.7.0 4.5.0 – 4.7.0 — Sin parche
NGINX Gateway Fabric 2.x 2.1.0 – 2.7.2 2.1.0 – 2.7.2 2.1.0 – 2.7.2 2.8.0
NGINX Gateway Fabric 1.x — — 1.5.0 – 1.6.2 Sin parche (migrar a 2.8.0)
NGINX Ingress Controller 5.x 5.6.0 – 5.6.3 5.6.0 – 5.6.3 5.0.0 – 5.6.3 5.7.0
NGINX Ingress Controller 4.x — — 4.0.0 – 4.0.1 Sin parche
NGINX Ingress Controller 3.x — — 3.7.1 – 3.7.2 Sin parche
NGINX Ingress Controller LTS — — 2026-lts-r3 – r8 Sin parche

Solución

Instalar o actualizar a las versiones corregidas publicadas por F5 en sus parches de seguridad out-of-band (OOB).

Recomendaciones

Se recomienda inventariar todos los sistemas que ejecutan NGINX (incluidas instancias embebidas en controladores ingress, appliances e imágenes de contenedores) y auditar las configuraciones para priorizar la aplicación de parches. Verificar que ASLR y otras protecciones a nivel de sistema operativo estén habilitadas, y monitorear reinicios anómalos de los procesos worker.

Workarounds

  • CVE-2026-15176: evitar el uso de la variable $request_filename junto con la directiva alias en un bloque location.
  • CVE-2026-97205: deshabilitar la E/S asíncrona de archivos (AIO) y las Server Side Includes (SSI).
  • CVE-2026-93479: evitar capturas sin nombre en la directiva map, utilizando capturas con nombre y limitando su uso al bloque con la coincidencia regex.
  • Medidas adicionales: confirmar que ASLR esté activo, ejecutar los workers sin privilegios y segmentar la capa frontal para limitar el movimiento lateral.

Referencias