En resumen

nginx publicó una corrección para una falla de memoria (use-after-free) que puede ocurrir en ciertas configuraciones que usan E/S asíncrona de archivos (AIO) junto con páginas SSI que contienen comandos "include virtual". Afecta a las versiones de nginx desde la 0.8.11 hasta la 1.31.6. Revisa qué versión tienes en tus servidores y actualiza a 1.31.7 o 1.30.6, o a una posterior.

Qué está pasando

El proyecto nginx publicó el aviso CVE-2026-97205, de gravedad media. Se trata de una falla de tipo use-after-free, es decir, el servidor puede usar una zona de memoria que ya fue liberada.

Según el aviso, el problema aparece solo en ciertas configuraciones: cuando nginx usa E/S asíncrona de archivos (AIO) y sirve páginas SSI (Server Side Includes) que contienen comandos "include virtual". Si tu servidor no combina estas dos funciones, el riesgo práctico es menor, aunque igual conviene actualizar.

La falla afecta a una gama muy amplia de versiones, desde la 0.8.11 hasta la 1.31.6. Está corregida en nginx 1.31.7 (rama mainline) y en 1.30.6 (rama stable), publicadas el 14 de octubre de 2026. El aviso no menciona explotación activa ni código de prueba público.

Vulnerabilidades

CVECVSSDescripción
CVE-2026-97205—Use-after-free en nginx al usar E/S asíncrona de archivos (AIO) en ciertas configuraciones, cuando una página SSI contiene comandos "include virtual".

Productos afectados

ProductoVersiones afectadasVersión corregida
nginx0.8.11 a 1.31.61.31.7+, 1.30.6+

Qué hacer ahora

  1. Identifica todos los servidores donde corre nginx y verifica la versión instalada con nginx -v.
  2. Actualiza nginx a la versión 1.31.7 o superior (rama mainline) o a la 1.30.6 o superior (rama stable).
  3. Prioriza los servidores cuya configuración use AIO (directiva aio) junto con SSI (directiva ssi) y páginas con comandos "include virtual".
¿No sabes si te afecta?

Te ayudamos a revisar sin costo si tus servidores o equipos usan una versión afectada por esta alerta, y qué conviene hacer primero.

Revisar si me afecta
Recomendación UpTech

Parte por hacer un inventario: nginx suele estar en más lugares de los que se cree, como proxies inversos, balanceadores internos, contenedores e imágenes de appliances. Busca en la configuración (nginx.conf y los archivos incluidos) si se usan juntas las directivas aio y ssi. Esos servidores van primero, pero planifica la actualización de todos, ya que el rango afectado es muy amplio.

Si instalas nginx desde los repositorios de tu distribución Linux, revisa si el proveedor ya publicó el paquete corregido, porque a veces el parche se aplica sobre versiones antiguas sin cambiar el número principal. Lo que más se pasa por alto son las imágenes Docker con versiones fijas: reconstrúyelas y vuelve a desplegarlas, y después de actualizar reinicia el servicio y confirma la versión que quedó en ejecución.

Cómo te ayuda UpTech

Servicios Gestionados TI

Con Gestión de Parches, las actualizaciones de seguridad de sistemas operativos y aplicaciones se aplican de forma programada, sin depender de que alguien lea esta alerta a tiempo.

Conocer el servicio → Servicios Gestionados TI

Con el inventario automatizado de hardware y software sabes de inmediato qué equipos tienen la versión afectada.

Conocer el servicio →

Referencias

  1. https://nginx.org/en/security_advisories.html
  2. https://my.f5.com/manage/s/article/K000162608
  3. https://www.cve.org/CVERecord?id=CVE-2026-97205
Basado en el aviso de seguridad oficial de nginx CVE-2026-97205: Use-after-free when using asynchronous file I/O (AIO) y en el registro de cambios de nginx. Traducción, resumen y recomendaciones: UpTech, con apoyo de IA. Antes de aplicar cambios, confirma las versiones en el aviso oficial del fabricante.