En resumen

nginx corrigió una falla de gravedad media (CVE-2026-42055) que permite a un atacante dañar la memoria o provocar la caída de procesos worker con una petición especialmente preparada. Afecta a las versiones 1.13.10 a 1.31.1 cuando nginx hace proxy hacia backends HTTP/2 o gRPC con una configuración específica. Actualiza a 1.31.2 o 1.30.3 y revisa si tu configuración cumple esas condiciones.

Qué está pasando

El proyecto nginx publicó el 17 de junio de 2026 un aviso sobre CVE-2026-42055, un desbordamiento de búfer en memoria heap que afecta a los módulos ngx_http_proxy_v2_module y ngx_http_grpc_module, usados cuando nginx reenvía peticiones a servidores internos (backends) mediante HTTP/2 o gRPC.

La falla no se activa con cualquier configuración. Según el aviso, se requiere que nginx tenga ignore_invalid_headers off; y valores grandes configurados en large_client_header_buffers, y que esté haciendo proxy de una petición especialmente preparada hacia un backend HTTP/2 o gRPC.

Si se cumplen esas condiciones, un atacante puede corromper la memoria de un proceso worker o provocar que se caiga (segmentation fault). En la práctica, esto puede traducirse en interrupciones del servicio web. El aviso no menciona explotación activa ni código de prueba público.

Las versiones vulnerables van de la 1.13.10 a la 1.31.1. La falla está corregida en nginx 1.31.2 (rama mainline) y 1.30.3 (rama stable), y en versiones posteriores.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-42055—Desbordamiento de búfer en memoria heap en un proceso worker de nginx al hacer proxy de una petición especialmente preparada hacia un backend HTTP/2 o gRPC, con ignore_invalid_headers off; y valores grandes en large_client_header_buffers. Permite corromper la memoria o provocar un segmentation fault del worker.

Productos afectados

ProductoVersiones afectadasVersión corregida
nginx (ngx_http_proxy_v2_module, ngx_http_grpc_module)1.13.10 a 1.31.11.31.2+, 1.30.3+

Qué hacer ahora

  1. Identifica tus servidores nginx y verifica la versión instalada con nginx -v.
  2. Actualiza a nginx 1.31.2 o posterior (mainline) o a 1.30.3 o posterior (stable).
  3. Mientras actualizas, revisa en tu configuración si usas ignore_invalid_headers off; junto con valores grandes en large_client_header_buffers y proxy hacia backends HTTP/2 o gRPC, para priorizar los servidores que cumplen esas condiciones.
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Parte por saber dónde tienes nginx: no solo en los servidores web principales, también en balanceadores, proxies inversos, contenedores e imágenes de terceros que lo incluyen sin que se note. Luego busca en las configuraciones (incluidos los archivos incluidos con include) las directivas ignore_invalid_headers y large_client_header_buffers, y si hay bloques que usen grpc_pass o proxy hacia HTTP/2. Los servidores expuestos a Internet que cumplan esas condiciones son los primeros a actualizar.

Aunque la gravedad es media y requiere una configuración poco habitual, una caída repetida de workers puede afectar la disponibilidad de un sitio o una API. Si usas paquetes de tu distribución Linux, revisa si el proveedor ya publicó la versión corregida o un parche retroportado, y aprovecha para dejar documentado por qué se desactivó la validación de cabeceras, ya que a menudo es un ajuste antiguo que nadie recuerda.

Cómo te ayuda UpTech

Cerberus WAF

Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.

Conocer el servicio → Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Respaldo y Monitoreo

El monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.

Conocer el servicio →

Referencias

  1. https://nginx.org/en/security_advisories.html
  2. https://my.f5.com/manage/s/article/K000161584
  3. https://www.cve.org/CVERecord?id=CVE-2026-42055
Basado en el aviso de seguridad oficial de nginx CVE-2026-42055: Buffer overflow in the ngx_http_proxy_v2_module and ngx_http_grpc_module y en el registro de cambios de nginx. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.