Alerta CVE-2026-42945 en NGINX: el desbordamiento de memoria que podría provocar DoS y ejecución remota de código

Un fallo crítico de memoria en NGINX, identificado como CVE-2026-42945, vuelve a poner en evidencia que incluso proyectos de software masivamente desplegados pueden arrastrar defectos históricos con impacto actual. La vulnerabilidad es un desbordamiento de búfer en el módulo ngx_http_rewrite_module que permanece en el código desde hace casi 18 años y, según la clasificación CVSS, recibió una puntuación alta (9.2) por su potencial para provocar denegación de servicio y, en condiciones concretas, ejecución remota de código.

La investigación que sacó a la luz este fallo fue publicada por DepthFirst AI, que durante una sesión automatizada de análisis de código encontró además tres problemas de corrupción de memoria adicionales. El vector central de CVE-2026-42945 es una inconsistencia en el motor interno de scripts de NGINX: una primera pasada calcula la memoria necesaria usando longitudes de URI sin escape, y una segunda pasada escribe la versión escapada (más larga), provocando un heap buffer overflow cuando conviven directivas ‘rewrite’ y ‘set’ en configuraciones típicas de gateways de API y proxies inversos.

DepthFirst demostró un escenario de explotación que, en entornos con ASLR desactivado, permite corromper estructuras de la memoria del pool de NGINX, sobrescribir punteros de manejadores de limpieza y forzar la ejecución de system() durante el proceso de limpieza —es decir, una vía hacia ejecución remota de comandos. Sin embargo, la comunidad ha matizado ese hallazgo: investigadores como Kevin Beaumont y equipos de distribución como AlmaLinux han señalado que convertir ese desbordamiento en un exploit confiable contra sistemas con protecciones modernas habilitadas no es trivial. Aun así, todos coinciden en que el componente de denegación de servicio es fácil de reproducir y debe ser tratado como urgente.

La magnitud del riesgo no es menor si tenemos en cuenta que NGINX potencia aproximadamente un tercio de los sitios principales y se usa extensamente en proveedores de nube, plataformas SaaS, bancos, e-commerce y clústeres Kubernetes. La arquitectura multi-proceso de NGINX facilita además la explotación: los procesos worker heredan diseños de memoria casi idénticos desde el proceso maestro, lo que permite intentos repetidos de manipulación del heap incluso cuando un worker se bloquea y es reemplazado.

F5, responsable del mantenimiento del proyecto, publicó un aviso con las versiones afectadas y parches. Las correcciones están disponibles en NGINX Open Source 1.31.0 y 1.30.1, así como en parches específicos para NGINX Plus y otras distribuciones del ecosistema. Para detalles oficiales consulte el aviso de F5 y la descripción del NVD: F5 Security Advisory y NVD · CVE-2026-42945. El informe técnico de DepthFirst con la investigación se publicará como referencia detallada en su página: DepthFirst · NGINX Rift.

Además de CVE-2026-42945, los escaneos detectaron otras fallas en el mismo periodo: una asignación excesiva de memoria en módulos SCGI/UWSGI que puede provocar workers ocupando ~1 TB (CVE-2026-42946), un use-after-free en resolución OCSP asíncrona (CVE-2026-40701) y un error off-by-one en parseo UTF‑8 (CVE-2026-42934). Aunque estas últimas recibieron calificaciones medias o altas, juntas refuerzan la idea de que es necesario auditar exhaustivamente despliegues en producción.

Si administras entornos que usan NGINX, las acciones prioritarias que recomiendo son claras: actualiza a las versiones parcheadas lo antes posible tras las pruebas en preproducción; si no puedes parchear inmediatamente, aplica mitigaciones temporales propuestas por el proveedor, como reemplazar grupos de captura PCRE no nombrados ($1, $2, etc.) en reglas ‘rewrite’ por capturas nombradas, lo que elimina la principal condición de explotación señalada. Revisar las reglas de rewrite y set, limitar la superficie expuesta de endpoints que aceptan cadenas de consulta complejas y endurecer las políticas de límites de tamaño y tiempo para peticiones HTTP reduce la probabilidad de explotación.

Complementariamente, verifica que las protecciones del sistema estén activas: ASLR debe permanecer habilitado y los contenedores o imágenes de VM no deben desactivar mitigaciones por razones de rendimiento en producción. Refuerza el aislamiento de procesos, ejecuta NGINX con privilegios mínimos, mantén registros y alertas centradas en fallos de workers y reinicios frecuentes, y aplica detección de anomalías en tráfico HTTP que pueda intentarlo explotar. Para entornos Kubernetes, actualiza rápidamente los controladores de Ingress y las imágenes base utilizadas en los pods.

Por último, considera que la evidencia disponible muestra una amenaza dual: un vector de DoS reproducible y un vector RCE que requiere condiciones específicas. No subestimes el impacto operativo de los bloqueos repetidos de workers ni la posibilidad de que un atacante especializado pueda adaptar técnicas para sortear mitigaciones en ciertos entornos. Planifica el parcheo en ventanas controladas, somete los cambios a pruebas de carga y seguridad, y mantén comunicación con tus proveedores y equipos de respuesta ante incidentes para acelerar la contención si detectas actividad sospechosa relacionada con estas vulnerabilidades.