En resumen

Una vulnerabilidad de gravedad media en nginx 1.25.0 a 1.30.0 permite que, al usar HTTP/3, un atacante suplante la dirección IP del cliente durante la migración de conexiones QUIC. Afecta a servidores nginx con HTTP/3 habilitado. Actualiza a nginx 1.31.0 o 1.30.1 o superior.

Qué está pasando

El proyecto nginx publicó el 13 de mayo de 2026 un aviso sobre la vulnerabilidad CVE-2026-40460, de gravedad media, que afecta a las versiones 1.25.0 a 1.30.0 cuando se usa HTTP/3.

HTTP/3 funciona sobre el protocolo QUIC, que permite la "migración de conexión": un cliente puede cambiar de dirección de red (por ejemplo, al pasar de Wi-Fi a datos móviles) sin cortar la sesión. Según el aviso, al procesar esa migración, los nuevos streams QUIC podían recibir la nueva dirección del cliente antes de que esta fuera validada.

En la práctica, esto permite a un atacante suplantar direcciones: nginx podría considerar como dirección del cliente una IP que no ha sido verificada. Esto puede afectar a controles que dependen de la IP de origen, como listas de acceso, límites de peticiones o registros. El aviso no menciona explotación activa ni código de prueba público.

La falla está corregida en nginx 1.31.0 y 1.30.1, y en versiones posteriores.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-40460—Al usar HTTP/3, el procesamiento de la migración de conexión podía hacer que nuevos streams QUIC recibieran una nueva dirección de cliente antes de validarla, permitiendo a un atacante suplantar la dirección.

Productos afectados

ProductoVersiones afectadasVersión corregida
nginx1.25.0-1.30.01.31.0, 1.30.1

Qué hacer ahora

  1. Verifica qué versión de nginx tienes instalada en cada servidor con nginx -v.
  2. Revisa si tienes HTTP/3 habilitado, buscando listen ... quic o la directiva http3 en la configuración de nginx.
  3. Actualiza nginx a la versión 1.31.0 o 1.30.1, o superior, en los servidores afectados.
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Lo primero es saber si realmente usas HTTP/3: muchas instalaciones de nginx no lo tienen activado, y en ese caso el riesgo de esta falla es menor. Aun así, conviene planificar la actualización dentro del ciclo normal de parches. Prioriza los servidores expuestos a Internet que usan QUIC y donde aplicas reglas basadas en IP, como restricciones de acceso a paneles administrativos o límites de peticiones.

Algo que suele pasarse por alto es nginx incluido dentro de otros productos: imágenes de contenedores, balanceadores, paneles de hosting o appliances. Revisa también esas instalaciones, porque no siempre se actualizan junto con el sistema operativo.

Cómo te ayuda UpTech

Cerberus WAF

Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.

Conocer el servicio → Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Servicios Gestionados TI

Con el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.

Conocer el servicio →

Referencias

  1. https://nginx.org/en/security_advisories.html
  2. https://my.f5.com/manage/s/article/K000161068
  3. https://www.cve.org/CVERecord?id=CVE-2026-40460
Basado en el aviso de seguridad oficial de nginx CVE-2026-40460: HTTP/3 address spoofing y en el registro de cambios de nginx. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.