Fecha histórica del artículo: 2026-10-14 (fecha de divulgación y publicación de seguridad). Fuentes verificadas e información complementada a través de 2026-10-27.

Evento e impacto

NGINX lanzó Stable 1.30.6 y Mainline 1.31.7 en 2026-10-14, solucionando cinco vulnerabilidades principales: CVE-2026-15176, CVE-2026-93479, CVE-2026-97205, CVE-2026-95101 y CVE-2026-97629. Afectan el mapeo de rutas, la evaluación de variables, las operaciones de archivos asincrónicos, los cuerpos de solicitud HTTP/3 y los tickets de sesión TLS. La exposición depende de la configuración; No todas las implementaciones de NGINX son vulnerables a la ejecución remota de código.

Acciones prioritarias

  1. Para paquetes ascendentes, cumpla con la línea base de parches independientes Stable 1.30.6 o Mainline 1.31.7. Mainline 1.31.8 estaba disponible en la fecha de verificación posterior. Para paquetes de distribución y NGINX Plus, verifique la rama del proveedor y la versión completa del paquete.
  2. Combinaciones de auditoría que involucran alias, rewrite, map, SSI/AIO, HTTP/3 y cachés de sesión compartidos TLS. Priorice los puntos finales y los servicios públicos mediante la autenticación de certificados de cliente.
  3. Valide la configuración y luego reinicie o implemente reemplazos para cada instancia anterior. Una recarga de configuración ordinaria no prueba que el binario activo haya sido actualizado.

Verificación y seguimiento

Confirme que los puntos finales reales utilicen paquetes o imágenes fijos y pruebe las cargas proxy, los límites del cuerpo de solicitud, el enrutamiento y la autenticación de certificados de cliente. WAF, ASLR y los cambios de configuración temporales no pueden reemplazar los parches. No se puede suponer que el estado de corrección de una distribución se aplique a otra.

Este artículo está archivado con la fecha del evento del 14 de octubre e incluye información posterior. Lea la guía completa de corrección y vulnerabilidad NGINX para conocer las configuraciones afectadas, correcciones específicas de ramas, mecanismos de parches, mitigaciones temporales y fuentes oficiales.