En resumen

Una vulnerabilidad en nginx 1.31.0 a 1.31.1 permite que un atacante, mediante una sesión QUIC especialmente manipulada, provoque corrupción de memoria o la caída de un proceso worker cuando se usa HTTP/3. Afecta a servidores web con nginx en esas versiones y HTTP/3 habilitado. Actualiza a nginx 1.31.2 o superior.

Qué está pasando

El proyecto nginx publicó un aviso de seguridad, clasificado como de gravedad mayor (major), sobre una falla de tipo use-after-free en su soporte de HTTP/3. Un use-after-free ocurre cuando el programa sigue usando una zona de memoria que ya fue liberada, lo que puede derivar en comportamientos impredecibles.

Según el aviso, la falla se activa cuando nginx usa HTTP/3 y procesa una sesión QUIC especialmente manipulada (QUIC es el protocolo de transporte sobre el que funciona HTTP/3). Un atacante podría aprovecharla para causar corrupción de memoria en un proceso worker o una falla de segmentación que lo haga caer, afectando la disponibilidad del servicio.

Las versiones vulnerables son nginx 1.31.0 a 1.31.1. La corrección está incluida en nginx 1.31.2, publicada el 17 de junio de 2026. El aviso no menciona explotación activa ni código de prueba de concepto público.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-42530—Use-after-free al usar HTTP/3 y procesar una sesión QUIC especialmente manipulada, que permite causar corrupción de memoria o una falla de segmentación en un proceso worker de nginx.

Productos afectados

ProductoVersiones afectadasVersión corregida
nginx1.31.0 - 1.31.11.31.2

Qué hacer ahora

  1. Identifica los servidores que ejecutan nginx y verifica la versión instalada con nginx -v.
  2. Actualiza a nginx 1.31.2 o superior todos los servidores con versiones 1.31.0 o 1.31.1, priorizando los que tienen HTTP/3 habilitado y están expuestos a Internet.
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Las versiones afectadas corresponden a la rama 1.31, así que lo primero es confirmar qué servidores la usan y si tienen HTTP/3 activo. No olvides revisar instancias de nginx que no siempre aparecen en el inventario: balanceadores, proxies inversos, contenedores e imágenes Docker que traen su propia versión, y equipos administrados por proveedores externos.

Aunque el aviso habla de caídas de procesos worker y corrupción de memoria, y no de explotación activa, conviene no postergar la actualización en servidores públicos. Planifica el cambio en una ventana corta, valida la configuración con nginx -t antes de recargar y revisa después los registros de error para detectar reinicios anómalos de workers.

Cómo te ayuda UpTech

Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Servicios Gestionados TI

Con el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.

Conocer el servicio → Respaldo y Monitoreo

El monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.

Conocer el servicio →

Referencias

  1. https://nginx.org/en/security_advisories.html
  2. https://my.f5.com/manage/s/article/K000161616
  3. https://www.cve.org/CVERecord?id=CVE-2026-42530
Basado en el aviso de seguridad oficial de nginx CVE-2026-42530: Use-after-free in HTTP/3 y en el registro de cambios de nginx. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.