F5 releases out-of-band patches for critical NGINX vulnerabilities
BleepingComputer · 19 oct, 15:49
F5 ha publicado parches de emergencia para tres vulnerabilidades críticas en NGINX que permiten ejecución remota de código o denegación de servicio en sistemas con configuraciones no predeterminadas. Los fallos afectan al módulo ngx_http_v3_module y la directiva map de NGINX, e impactan NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager. Aunque no hay evidencia de explotación activa, el historial reciente de F5 muestra que sus vulnerabilidades han sido objeto de campañas de ciberdelincuentes y actores patrocinados por estados.
Las tres vulnerabilidades críticas (CVE-2026-15176, CVE-2026-97205 y CVE-2026-93479) permiten a atacantes remotos sin privilegios provocar un desbordamiento de búfer en el montículo o use-after-free en el proceso worker de NGINX, causando caídas o reinicios del servicio. La explotación exitosa también puede permitir ejecución de código en sistemas donde ASLR está deshabilitado o cuando el atacante puede eludir ASLR.
F5 proporciona mitigaciones inmediatas: para CVE-2026-15176, no usar la directiva 'alias' o la variable $request_filename; para CVE-2026-97205, deshabilitar I/O asincrónico (AIO) o Server Side Includes (SSI); para CVE-2026-93479, usar capturas nombradas en lugar de innominadas. F5 atiende a más de 23.000 clientes, incluidos el 80% del Fortune Global 500 y 48 empresas del Fortune 50. Desde noviembre de 2021, CISA ha catalogado ocho vulnerabilidades de F5 como activamente explotadas, cuatro de ellas utilizadas en ataques de ransomware.
Puntos clave
- Tres vulnerabilidades críticas: CVE-2026-15176, CVE-2026-97205 en ngx_http_v3_module y CVE-2026-93479 en directiva map
- Afecta a NGINX Plus, NGINX Open Source, NGINX Ingress Controller, NGINX Gateway Fabric y NGINX Instance Manager
- Sin evidencia de explotación en la naturaleza, pero historial de F5 sugiere riesgo inminente
- Mitigaciones disponibles inmediatamente sin parche: deshabilitar AIO/SSI, evitar directiva alias, usar capturas nombradas