NGINX Fixes 5 Flaws, Including Possible RCE and a TLS Bug That May Skip Client-Cert Checks
2026-10-15
NGINX publicó las versiones 1.30.6 y 1.31.7 el 14 de octubre para corregir cinco vulnerabilidades. Entre ellas, tres fallos de memoria podrían permitir que un atacante ejecute código (RCE, por sus siglas en inglés, que es la capacidad de correr comandos de forma remota) o que el proceso del servidor se bloquee.
Uno de los fallos detectados afecta el protocolo TLS (el sistema que cifra la comunicación en internet) y podría permitir que un atacante suplante una sesión para saltarse la verificación de certificados de cliente. Aunque la empresa F5 indica que este engaño es difícil de controlar para un atacante, el riesgo es importante.
También se identificó un fallo en HTTP/3 (una versión moderna y rápida del protocolo de internet) que permite inyectar bytes extra en una solicitud, pasando por alto los límites de tamaño configurados. Las versiones afectadas van desde la 0.8.11 hasta la 1.31.6, dependiendo de la configuración específica de cada servidor.
F5 calificó los tres fallos de memoria con una puntuación de 9.2 (Crítica) en la escala CVSS v4.0, mientras que el fallo de TLS tiene una puntuación de 8.3. Hasta el momento, no se han reportado ataques reales utilizando estas vulnerabilidades.
Qué significa para una pyme colombiana y cucuteña: Si su empresa utiliza NGINX para alojar su página web o servicios en la nube, debe actualizarlo de inmediato a la versión 1.30.6 (rama estable) o 1.31.7 (rama principal). Si no puede actualizar hoy mismo, revise su configuración: evite usar la directiva 'alias' con 'rewrite', desactive 'aio' si usa páginas SSI, y asegúrese de cargar las llaves de sesión TLS desde un archivo para evitar que se salten las validaciones de seguridad.