Una falla en el módulo ngx_http_rewrite_module de nginx permite que una petición especialmente diseñada provoque un desbordamiento de memoria en un proceso worker, con posible ejecución de código arbitrario. Afecta a las versiones 0.6.27 a 1.30.0. Actualiza a nginx 1.30.1 o 1.31.0 (o superior) en todos tus servidores.
Qué está pasando
El proyecto nginx publicó un aviso de seguridad sobre la vulnerabilidad CVE-2026-42945, un desbordamiento de búfer en memoria heap dentro del módulo ngx_http_rewrite_module, el componente que procesa directivas como rewrite, return, set e if en la configuración.
Según el aviso, al procesar una petición especialmente diseñada, un proceso worker de nginx puede escribir fuera de la memoria asignada. Esto podría derivar en la ejecución de código arbitrario en el servidor, aunque el proyecto clasifica la severidad como media.
El rango afectado es muy amplio: desde la versión 0.6.27 hasta la 1.30.0, por lo que prácticamente cualquier instalación de nginx no actualizada recientemente está dentro del alcance. Las versiones corregidas son 1.30.1 (rama estable) y 1.31.0 (rama mainline), publicadas el 13 de mayo de 2026. El aviso no menciona explotación activa ni código de prueba público.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-42945 | — | Desbordamiento de búfer en memoria heap en un proceso worker al procesar una petición especialmente diseñada en ngx_http_rewrite_module, que podría permitir la ejecución de código arbitrario. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| nginx | 0.6.27 - 1.30.0 | 1.30.1+, 1.31.0+ |
Qué hacer ahora
- Identifica todos los servidores que ejecutan nginx y verifica la versión instalada con
nginx -v. - Actualiza nginx a la versión 1.30.1 o superior (rama estable) o a la 1.31.0 o superior (rama mainline).
- Reinicia o recarga el servicio tras la actualización y confirma con
nginx -vque la nueva versión está en ejecución.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Prioriza primero los nginx expuestos a Internet: servidores web, proxies inversos y balanceadores que reciben tráfico directo. No olvides las instancias menos visibles, como contenedores Docker, imágenes base, appliances y paneles de hosting que traen nginx embebido; ahí la versión no siempre se actualiza con el sistema operativo y depende de reconstruir la imagen o esperar el paquete del proveedor.
Si usas los paquetes de tu distribución Linux, revisa el aviso de seguridad de esa distribución: muchas aplican el parche sin cambiar el número de versión principal, así que nginx -v por sí solo puede no reflejar si estás protegido. Aunque la severidad declarada es media, la posibilidad de ejecución de código justifica no postergar la actualización.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://nginx.org/en/security_advisories.html
- https://my.f5.com/manage/s/article/K000161019
- https://www.cve.org/CVERecord?id=CVE-2026-42945