F5 publica parches para tres vulnerabilidades críticas de NGINX

F5 ha publicado parches de seguridad fuera del ciclo habitual para varias vulnerabilidades de sus productos de servidor web NGINX. Tres están clasificadas como críticas y podrían permitir que atacantes remotos sin privilegios provoquen ataques de denegación de servicio (DoS) o ejecuten código en sistemas con configuraciones distintas de las predeterminadas.

Dos fallos afectan a ngx_http_v3_module (CVE-2026-15176 y CVE-2026-97205); el tercero afecta a la directiva map de NGINX (CVE-2026-93479). Su explotación puede causar un desbordamiento de búfer en el heap o el uso de memoria liberada en un proceso de trabajo de NGINX, lo que puede provocar un fallo o un reinicio. También podría ser posible ejecutar código si la aleatorización del diseño del espacio de direcciones (ASLR) está desactivada o se logra eludir.

Los parches cubren NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager. F5 también indicó medidas para administradores que no puedan instalar las actualizaciones de inmediato: evitar ciertas directivas o variables para los dos primeros fallos, desactivar la E/S asíncrona de archivos (AIO) o Server Side Includes (SSI) para CVE-2026-97205 y usar capturas con nombre en lugar de capturas sin nombre para CVE-2026-93479.

F5 no ha señalado que estas vulnerabilidades se estén explotando en ataques reales. Según la fuente, desde noviembre de 2021 la Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha incluido ocho vulnerabilidades de F5 entre las que se explotan activamente; cuatro también se han utilizado en ataques de ransomware.