nginx corrigió una falla de severidad media (CVE-2026-27654) en el módulo WebDAV que afecta a las versiones 0.5.13 a 1.29.6. Un atacante podría modificar rutas fuera del directorio raíz del sitio cuando se usan peticiones COPY o MOVE en un location con alias. Revisa qué versión de nginx usas y actualiza a 1.29.7 o 1.28.3, o a una posterior.
Qué está pasando
El proyecto nginx publicó el 24 de marzo de 2026 un aviso por una vulnerabilidad en ngx_http_dav_module, el módulo que permite manejar métodos WebDAV como COPY y MOVE para copiar o mover archivos en el servidor.
Según el aviso, puede producirse un desbordamiento de búfer al procesar una petición COPY o MOVE en un bloque location configurado con la directiva alias. Esto permitiría a un atacante modificar la ruta de origen o de destino para que apunte fuera del directorio raíz de documentos. En la práctica, se podrían copiar o mover archivos en ubicaciones que no deberían ser accesibles desde la web.
La falla está catalogada como de severidad media y afecta a una gama muy amplia de versiones, desde la 0.5.13 hasta la 1.29.6. Está corregida en nginx 1.29.7 (rama mainline) y en 1.28.3 (rama stable). El aviso no menciona explotación activa ni código de prueba público.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-27654 | — | Desbordamiento de búfer en ngx_http_dav_module al manejar peticiones COPY o MOVE en un location con "alias". Permite modificar la ruta de origen o destino fuera del directorio raíz de documentos. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| nginx | 0.5.13 - 1.29.6 | 1.29.7+, 1.28.3+ |
Qué hacer ahora
- Verifica qué versión de nginx tienes instalada en cada servidor, por ejemplo con
nginx -v. - Actualiza nginx a la versión 1.29.7 o posterior si usas la rama mainline, o a la 1.28.3 o posterior si usas la rama stable.
- Reinicia o recarga el servicio y confirma que quedó corriendo la versión corregida.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Antes de actualizar todo de golpe, identifica qué servidores tienen habilitado ngx_http_dav_module y usan las directivas dav_methods junto con alias. Esos son los que deben ir primero. Muchas empresas tienen nginx funcionando como proxy inverso, en equipos con paneles de hosting o dentro de imágenes de contenedores y appliances, y suelen olvidarse de esas instancias. Revisa también los paquetes de tu distribución Linux, porque a veces incorporan la corrección sin cambiar el número de versión principal.
Aunque la severidad es media, el rango de versiones afectadas es enorme. Si no usas WebDAV, aprovecha la revisión para confirmar que el módulo no esté activo sin necesidad: desactivar lo que no se usa reduce la superficie de ataque frente a fallas futuras.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://nginx.org/en/security_advisories.html
- https://my.f5.com/manage/s/article/K000160382
- https://www.cve.org/CVERecord?id=CVE-2026-27654