En resumen

Una falla de gravedad media en nginx 1.29.4 a 1.30.0 permite a un atacante inyectar datos en la petición que nginx reenvía a un backend HTTP/2 cuando se usa la directiva proxy_set_body. Afecta a quienes usan nginx como proxy inverso con esa configuración. Actualiza a nginx 1.30.1 o 1.31.0 y revisa si tus configuraciones usan proxy_set_body.

Qué está pasando

El proyecto nginx publicó el 13 de mayo de 2026 un aviso sobre la vulnerabilidad CVE-2026-42926, de gravedad media, en el módulo ngx_http_proxy_module, que es el que permite a nginx actuar como proxy inverso y reenviar peticiones a servidores internos (backends).

Según el aviso, cuando la configuración usa la directiva proxy_set_body y el backend recibe las peticiones por HTTP/2, un atacante podría inyectar datos en la petición que nginx reenvía. En la práctica, esto podría permitir que el backend reciba contenido distinto del que nginx pretende enviar.

La falla afecta a las versiones 1.29.4 a 1.30.0 y está corregida en nginx 1.31.0 y 1.30.1. El aviso no menciona explotación activa ni código de prueba público.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-42926—Inyección de datos en la petición reenviada a un backend HTTP/2 por ngx_http_proxy_module cuando se usa la directiva proxy_set_body.

Productos afectados

ProductoVersiones afectadasVersión corregida
nginx1.29.4 a 1.30.01.30.1, 1.31.0

Qué hacer ahora

  1. Verifica qué versión de nginx tienes instalada en cada servidor (por ejemplo, con nginx -v).
  2. Si usas una versión entre 1.29.4 y 1.30.0, actualiza a nginx 1.30.1 o 1.31.0 o superior.
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Empieza por identificar los servidores nginx que actúan como proxy inverso y busca en sus archivos de configuración la directiva proxy_set_body (por ejemplo, con grep -r proxy_set_body /etc/nginx/). Si además reenvían tráfico a backends por HTTP/2, esos son los que debes actualizar primero; el resto puede seguir el ciclo normal de parches, pero conviene no dejarlos en versiones vulnerables.

No olvides revisar nginx incluido en imágenes de contenedores, appliances o paneles de hosting, que a menudo no se actualizan con el sistema operativo. Después de actualizar, confirma la versión en ejecución y recarga el servicio, ya que el binario antiguo puede seguir activo hasta reiniciarlo.

Cómo te ayuda UpTech

Cerberus WAF

Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.

Conocer el servicio → Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Servicios Gestionados TI

Con el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.

Conocer el servicio →

Referencias

  1. https://nginx.org/en/security_advisories.html
  2. https://my.f5.com/manage/s/article/K000161131
  3. https://www.cve.org/CVERecord?id=CVE-2026-42926
Basado en el aviso de seguridad oficial de nginx CVE-2026-42926: HTTP/2 request injection in the ngx_http_proxy_module y en el registro de cambios de nginx. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.