Una vulnerabilidad de gravedad media en nginx (CVE-2026-95101) permite que, al usar HTTP/3, parte de un frame desconocido se trate como cuerpo de la petición. Esto puede eludir el límite client_max_body_size o inyectar datos en peticiones enviadas al backend. Afecta a las versiones 1.25.0 a 1.31.6; actualiza a 1.31.7 o 1.30.6 o posteriores.
Qué está pasando
El proyecto nginx publicó el 14 de octubre de 2026 un aviso sobre la vulnerabilidad CVE-2026-95101, clasificada como de gravedad media. La falla afecta solo a servidores que usan HTTP/3.
Cuando nginx recibe peticiones por HTTP/3, una parte de un frame desconocido podría interpretarse como si fuera el cuerpo de la petición. En la práctica, esto significa que un atacante podría colar datos que nginx no debería aceptar como contenido.
Las consecuencias señaladas por el aviso son dos: eludir el límite de tamaño configurado con client_max_body_size e inyectar datos en la petición que nginx reenvía (proxy) a las aplicaciones o servidores internos. Esto último puede alterar lo que recibe el backend.
Están afectadas las versiones 1.25.0 a 1.31.6. La corrección está disponible en nginx 1.31.7 y 1.30.6, y en versiones posteriores.
Vulnerabilidades
| CVE | CVSS | Descripción |
|---|---|---|
| CVE-2026-95101 | — | Con HTTP/3, una parte de un frame desconocido puede tratarse como cuerpo de la petición. Esto permite eludir el límite client_max_body_size o inyectar datos en la petición enviada por proxy. |
Productos afectados
| Producto | Versiones afectadas | Versión corregida |
|---|---|---|
| nginx | 1.25.0 a 1.31.6 | 1.31.7+, 1.30.6+ |
Qué hacer ahora
- Verifica qué versión de nginx tienes instalada en cada servidor con
nginx -v. - Actualiza nginx a la versión 1.31.7 o posterior, o a la 1.30.6 o posterior si usas la rama 1.30.
- Tras actualizar, confirma la nueva versión con
nginx -vy reinicia o recarga el servicio para que el cambio surta efecto.
Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.
Lo primero es saber si de verdad usas HTTP/3 en tus servidores nginx, porque la falla solo se presenta en ese escenario. Muchas empresas lo activan al configurar un sitio nuevo o un balanceador y luego lo olvidan. Revisa la configuración de cada servidor expuesto a Internet y prioriza aquellos que actúan como proxy inverso hacia aplicaciones internas: ahí la inyección de datos puede tener más impacto.
No te olvides de las instalaciones menos visibles: contenedores, imágenes de Docker, appliances y paneles de hosting que incluyen nginx propio, que a menudo no se actualizan con el sistema operativo. Aunque la gravedad es media, la actualización es sencilla; conviene incluirla en la próxima ventana de mantenimiento sin postergarla.
Cómo te ayuda UpTech
Mientras aplicas la actualización, podemos definir en Cerberus WAF reglas específicas para las rutas y parámetros vulnerables de tu sitio. Reduce la exposición, pero no reemplaza el parche.
Conocer el servicio → Servicios Gestionados TICon Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.
Conocer el servicio → Servicios Gestionados TICon el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.
Conocer el servicio →Referencias
- https://nginx.org/en/security_advisories.html
- https://my.f5.com/manage/s/article/K000162613
- https://www.cve.org/CVERecord?id=CVE-2026-95101