F5 ha publicado parches de seguridad fuera de ciclo para abordar múltiples fallas en el servidor web NGINX, incluidas tres vulnerabilidades de severidad crítica que podrían permitir a los atacantes ejecutar código en sistemas afectados.
Las tres fallas críticas se localizaron en el módulo ngx_http_v3_module (CVE-2026-15176 y CVE-2026-97205) y en la directiva map de NGINX (CVE-2026-93479). Atacantes remotos sin privilegios pueden aprovecharlas para lanzar ataques de denegación de servicio (DoS) u obtener ejecución de código en sistemas NGINX con configuraciones no predeterminadas.
La explotación exitosa provoca un desbordamiento de búfer basado en heap o un use-after-free en el proceso worker de NGINX, lo que deriva en caídas o reinicios. No obstante, los atacantes también podrían "ejecutar código en sistemas con la aleatorización del espacio de direcciones (ASLR) deshabilitada o cuando el atacante logra eludir ASLR".
F5 lanzó parches de seguridad para varios productos de software NGINX afectados por estas dos vulnerabilidades, entre ellos NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager.
Los equipos de seguridad y administradores que no puedan instalar los parches de inmediato pueden mitigar CVE-2026-15176 evitando el uso de la directiva 'alias' en un bloque de ubicación o de la variable $request_filename, y CVE-2026-97205 deshabilitando la E/S de archivos asíncrona (AIO) o las inclusiones del lado del servidor (SSI).
CVE-2026-93479 también puede mitigarse usando capturas con nombre en lugar de capturas sin nombre y limitando su uso al bloque con la coincidencia regex.
Aunque F5 aún no ha señalado que estos problemas hayan sido explotados en la naturaleza, en los últimos años grupos de ciberdelincuencia y actores estatales han explotado con frecuencia vulnerabilidades en productos F5.
Por ejemplo, los atacantes han atacado fallas de seguridad de F5 para vulnerar redes corporativas, mapear servidores internos, secuestrar dispositivos, desplegar malware destructor de datos y robar documentos sensibles de víctimas en todo el mundo.
Desde noviembre de 2021, la Agencia de Ciberseguridad y Seguridad de Infraestructuras de EE. UU. (CISA) ha marcado ocho vulnerabilidades de F5 como explotadas activamente, cuatro de las cuales también se han utilizado en ataques de ransomware.
Hace un año, en octubre de 2025, F5 también reveló que actores patrocinados por el Estado vulneraron sus sistemas en agosto de 2025 y robaron código fuente e información sobre vulnerabilidades no divulgadas de BIG-IP.
F5 es una empresa tecnológica del Fortune 500 que ofrece ciberseguridad, redes de entrega de aplicaciones (ADN) y otros servicios a más de 23.000 clientes, incluido el 80% del Fortune Global 500 y 48 empresas del Fortune 50.
Deja una respuesta