nginx publicó una corrección para un desbordamiento de memoria heap en el proceso worker. Ocurre en ciertas configuraciones al usar HTTP/3 con OpenSSL 3.5.0 o anterior. Si usas nginx entre las versiones 1.29.2 y 1.31.5, actualiza a 1.31.6 o 1.30.5 o superior.
Qué está pasando
El proyecto nginx informó una vulnerabilidad en el módulo ngx_http_v3_module, encargado de dar soporte a HTTP/3. Bajo ciertas configuraciones, puede producirse un desbordamiento de búfer en la memoria heap de un proceso worker.
La falla solo se presenta cuando el servidor usa HTTP/3 y nginx funciona con OpenSSL 3.5.0 o una versión anterior. Los servidores que no tienen HTTP/3 habilitado o que usan una versión más reciente de OpenSSL no cumplen las condiciones descritas en el aviso.
El aviso clasifica la severidad como media y no informa explotación activa ni código de prueba público. Las versiones vulnerables van de la 1.29.2 a la 1.31.5. El problema está corregido en las versiones 1.31.6 y 1.30.5, y en las posteriores.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-90439 | — | Desbordamiento de búfer en memoria heap en un proceso worker de nginx. Se produce bajo ciertas configuraciones al usar HTTP/3 (ngx_http_v3_module) con OpenSSL 3.5.0 o anterior. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| nginx | 1.29.2 a 1.31.5 | 1.31.6+ y 1.30.5+ |
Qué hacer ahora
- Identifica qué servidores usan nginx y verifica la versión instalada con
nginx -v. - Revisa si esos servidores tienen HTTP/3 habilitado y qué versión de OpenSSL utilizan; con
nginx -Vpuedes ver la versión de OpenSSL. - Actualiza nginx a la versión 1.31.6 o 1.30.5, o a una posterior, en todos los servidores con versiones entre 1.29.2 y 1.31.5.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Empieza por los servidores nginx expuestos a Internet que tengan HTTP/3 activo, porque cumplen las condiciones del aviso. Recuerda que nginx no siempre se instala solo: suele venir dentro de imágenes de contenedor, balanceadores, paneles de hosting o appliances. En esos casos, la versión depende del proveedor o de la imagen base y conviene revisarla de forma explícita.
Aunque la severidad es media, la actualización es sencilla y de bajo riesgo. Prográmala en tu próxima ventana de mantenimiento. Después de actualizar, confirma la versión que quedó en ejecución y reinicia el servicio para que los procesos worker antiguos dejen de atender tráfico.
Cómo te ayuda UpTech
Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio → Respaldo y MonitoreoEl monitoreo 24/7 con alertas en tiempo real ayuda a detectar a tiempo comportamientos anómalos en tus servidores.
Conocer el servicio →Referencias
- https://nginx.org/en/security_advisories.html
- https://my.f5.com/manage/s/article/K000162604
- https://www.cve.org/CVERecord?id=CVE-2026-90439