{"id":1239,"date":"2026-06-18T19:54:59","date_gmt":"2026-06-18T19:54:59","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/18\/f5-parchea-dos-fallas-criticas-de-codigo-abierto-de-nginx-que-permiten-la-ejecucion-remota-de-codigo-cyberdefensa-mx\/"},"modified":"2026-06-18T19:54:59","modified_gmt":"2026-06-18T19:54:59","slug":"f5-parchea-dos-fallas-criticas-de-codigo-abierto-de-nginx-que-permiten-la-ejecucion-remota-de-codigo-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/06\/18\/f5-parchea-dos-fallas-criticas-de-codigo-abierto-de-nginx-que-permiten-la-ejecucion-remota-de-codigo-cyberdefensa-mx\/","title":{"rendered":"F5 parchea dos fallas cr\u00edticas de c\u00f3digo abierto de NGINX que permiten la ejecuci\u00f3n remota de c\u00f3digo \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>F5 ha publicado actualizaciones de seguridad para abordar dos fallas de seguridad cr\u00edticas en NGINX Open Source que podr\u00edan explotarse para lograr la ejecuci\u00f3n de c\u00f3digo en los sistemas afectados.<\/p>\n<p>Las vulnerabilidades se enumeran a continuaci\u00f3n:<\/p>\n<ul>\n<li><b><a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-42530\">CVE-2026-42530<\/a><\/b>  (Puntuaci\u00f3n CVSS v4: 9.2): una vulnerabilidad de uso despu\u00e9s de la liberaci\u00f3n en el m\u00f3dulo ngx_http_v3_module que podr\u00eda ser activada por un atacante remoto no autenticado cuando NGINX Open Source est\u00e1 configurado para usar el m\u00f3dulo HTTP\/3 QUIC para reabrir una secuencia de codificador QPACK mediante una sesi\u00f3n HTTP\/3 especialmente dise\u00f1ada y ejecutar c\u00f3digo en sistemas con la aleatorizaci\u00f3n del dise\u00f1o del espacio de direcciones (ASLR) deshabilitada o cuando el atacante puede omitir ASLR.<\/li>\n<li><b><a href=\"https:\/\/www.cve.org\/CVERecord?id=CVE-2026-42055\">CVE-2026-42055<\/a><\/b>  (Puntuaci\u00f3n CVSS v4: 9.2): una vulnerabilidad de desbordamiento de b\u00fafer basada en mont\u00f3n en los m\u00f3dulos ngx_http_proxy_v2_module y ngx_http_grpc_module que podr\u00eda ser activada por un atacante remoto no autenticado cuando las directivas proxy_http_version to 2 o grpc_pass se usan para representar el tr\u00e1fico HTTP\/2, la directiva ignore_invalid_headers est\u00e1 desactivada y la El tama\u00f1o de la directiva large_client_header_buffers es superior a 2 MB y ejecuta c\u00f3digo en sistemas con la aleatorizaci\u00f3n del dise\u00f1o del espacio de direcciones (ASLR) deshabilitada o cuando el atacante puede eludir ASLR.<\/li>\n<\/ul>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Ambas deficiencias se han solucionado en las siguientes versiones:<\/p>\n<ul>\n<li>\n    <a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161616\"><\/p>\n<p>      CVE-2026-42530<\/p>\n<p><\/a><br \/>\u2013<\/p>\n<ul>\n<li>C\u00f3digo abierto NGINX 1.31.0 \u2013 1.31.1 (corregido en 1.31.2)<\/li>\n<li>NGINX Gateway Fabric 2.0.0 \u2013 2.6.3 (corregido en 2.6.4)<\/li>\n<li>Estructura de puerta de enlace NGINX 1.3.0 \u2013 1.6.2<\/li>\n<li>Administrador de instancias NGINX 2.17.0 \u2013 2.22.0<\/li>\n<li>Controlador de ingreso NGINX 5.0.0 \u2013 5.5.0<\/li>\n<li>Controlador de ingreso NGINX 4.0.0 \u2013 4.0.1<\/li>\n<li>Controlador de ingreso NGINX 3.5.0 \u2013 3.7.2<\/li>\n<\/ul>\n<\/li>\n<li>\n    <a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161584\"><\/p>\n<p>      CVE-2026-42055<\/p>\n<p><\/a><br \/>\u2013<\/p>\n<ul>\n<li>NGINX Plus 37.0.0 \u2013 37.0.1 (Fijo en 37.0.2.1)<\/li>\n<li>NGINX Plus R33 \u2013 R36 (Fijo en R36 P6)<\/li>\n<li>C\u00f3digo abierto NGINX 1.31.1 (corregido en 1.31.2)<\/li>\n<li>C\u00f3digo abierto NGINX 1.30.0 \u2013 1.30.2 (corregido en 1.30.3)<\/li>\n<li>Administrador de instancias NGINX 2.17.0 \u2013 2.22.0<\/li>\n<li>F5 WAF para NGINX 5.9.0 \u2013 5.13.1<\/li>\n<li>Aplicaci\u00f3n NGINX Protege WAF 5.2.0 \u2013 5.8.0<\/li>\n<li>Aplicaci\u00f3n NGINX Protege WAF 4.10.0 \u2013 4.16.0<\/li>\n<li>F5 DoS para NGINX 4.9.0<\/li>\n<li>Aplicaci\u00f3n NGINX Protege DoS 4.3.0 \u2013 4.7.0<\/li>\n<li>NGINX Gateway Fabric 2.0.0 \u2013 2.6.3 (corregido en 2.6.4)<\/li>\n<li>Estructura de puerta de enlace NGINX 1.3.0 \u2013 1.6.2<\/li>\n<li>Controlador de ingreso NGINX 5.0.0 \u2013 5.5.0<\/li>\n<li>Controlador de ingreso NGINX 4.0.0 \u2013 4.0.1<\/li>\n<li>Controlador de ingreso NGINX 3.5.0 \u2013 3.7.2<\/li>\n<\/ul>\n<\/li>\n<\/ul>\n<p>Como mitigaciones, F5 ha descrito las siguientes acciones:<\/p>\n<ul>\n<li>CVE-2026-42530: deshabilitar HTTP\/3<\/li>\n<li>CVE-2026-42055: elimine la directiva ignore_invalid_headers off de la configuraci\u00f3n o reduzca el tama\u00f1o de la directiva large_client_header_buffers por debajo de 2 MB<\/li>\n<\/ul>\n<p>Aunque F5 no menciona las vulnerabilidades que se est\u00e1n explotando en la naturaleza, los malos actores han explotado repetidamente las fallas de seguridad en los productos de F5.<\/p>\n<p>Tan recientemente como el mes pasado, otro defecto de seguridad cr\u00edtico en NGINX Plus y NGINX Open Source (CVE-2026-42945, puntuaci\u00f3n CVSS: 9.2), tambi\u00e9n llamado NGINX Rift, fue explotado activamente pocos d\u00edas despu\u00e9s de la divulgaci\u00f3n p\u00fablica.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>F5 ha publicado actualizaciones de seguridad para abordar dos fallas de seguridad cr\u00edticas en NGINX Open Source que podr\u00edan explotarse para lograr la ejecuci\u00f3n de c\u00f3digo en los sistemas afectados. Las vulnerabilidades se enumeran a continuaci\u00f3n: CVE-2026-42530 (Puntuaci\u00f3n CVSS v4: 9.2): una vulnerabilidad de uso despu\u00e9s de la liberaci\u00f3n en el m\u00f3dulo ngx_http_v3_module que podr\u00eda [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":752,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[377,376,1011,24,494,766,103,1842,846,765,767],"class_list":["post-1239","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-abierto","tag-codigo","tag-criticas","tag-cyberdefensa-mx","tag-dos","tag-ejecucion","tag-fallas","tag-nginx","tag-parchea","tag-permiten","tag-remota"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1239","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=1239"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/1239\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/752"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=1239"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=1239"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=1239"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}