nginx corrigió una falla de tipo use-after-free que puede ocurrir al procesar respuestas DNS cuando está activa la directiva ssl_ocsp, lo que puede corromper la memoria o hacer caer un proceso worker. Afecta a las versiones 1.19.0 a 1.30.0. Revisa si tus servidores nginx usan ssl_ocsp y actualiza a 1.30.1 o 1.31.0.
Qué está pasando
El equipo de nginx publicó un aviso sobre la vulnerabilidad CVE-2026-40701, de gravedad media. El problema está en el componente que resuelve nombres DNS (el resolver) y solo se presenta cuando el servidor tiene configurada la directiva ssl_ocsp, que se usa para verificar mediante OCSP si los certificados de cliente fueron revocados.
Mientras nginx procesa la respuesta de un servidor DNS, puede usar una zona de memoria que ya fue liberada (use-after-free). Según el aviso, un atacante podría aprovecharlo para corromper la memoria de un proceso worker o provocar que se caiga por un error de segmentación (segmentation fault). En la práctica, esto puede traducirse en interrupciones del servicio web.
Están afectadas las versiones de nginx desde 1.19.0 hasta 1.30.0. La corrección está incluida en nginx 1.31.0 y 1.30.1. El aviso no menciona explotación activa ni código de prueba público.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-40701 | — | Use-after-free en el resolver de nginx durante el procesamiento de respuestas DNS cuando se usa la directiva ssl_ocsp. Puede causar corrupción de memoria o un segmentation fault en un proceso worker. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| nginx | 1.19.0 a 1.30.0 | 1.31.0, 1.30.1 |
Qué hacer ahora
- Verifica qué versión de nginx tienes instalada en cada servidor (por ejemplo, con
nginx -v). - Revisa si tu configuración usa la directiva
ssl_ocsp, que es la condición para que la falla se presente. - Actualiza nginx a la versión 1.30.1 (rama estable) o 1.31.0 o superior.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Empieza por identificar los servidores nginx que usan ssl_ocsp: es una directiva poco común, propia de entornos que autentican a clientes con certificados (portales internos, APIs entre empresas, accesos de partners). Esos equipos son los que debes actualizar primero. Si no la usas, la falla no te afecta directamente, pero conviene incluir la actualización en tu próxima ventana de mantenimiento.
Ten presente que nginx suele venir incluido en otros productos: imágenes de contenedores, balanceadores, controladores de ingress en Kubernetes o paneles de hosting. Esas copias se pasan por alto con facilidad, así que revisa también su versión y aplica las actualizaciones de cada proveedor cuando estén disponibles.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://nginx.org/en/security_advisories.html
- https://my.f5.com/manage/s/article/K000161021
- https://www.cve.org/CVERecord?id=CVE-2026-40701