{"id":864,"date":"2026-05-14T07:54:22","date_gmt":"2026-05-14T07:54:22","guid":{"rendered":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/14\/una-falla-en-el-modulo-de-reescritura-nginx-de-18-anos-permite-rce-no-autenticado-cyberdefensa-mx\/"},"modified":"2026-05-14T07:54:22","modified_gmt":"2026-05-14T07:54:22","slug":"una-falla-en-el-modulo-de-reescritura-nginx-de-18-anos-permite-rce-no-autenticado-cyberdefensa-mx","status":"publish","type":"post","link":"https:\/\/cybercolombia.co\/index.php\/2026\/05\/14\/una-falla-en-el-modulo-de-reescritura-nginx-de-18-anos-permite-rce-no-autenticado-cyberdefensa-mx\/","title":{"rendered":"Una falla en el m\u00f3dulo de reescritura NGINX de 18 a\u00f1os permite RCE no autenticado \u2013 CYBERDEFENSA.MX"},"content":{"rendered":"<div id=\"articlebody\">\n<p>Los investigadores de ciberseguridad han revelado m\u00faltiples vulnerabilidades de seguridad que afectan a NGINX Plus y NGINX Open, incluida una falla cr\u00edtica que no se detect\u00f3 durante 18 a\u00f1os.<\/p>\n<p>La vulnerabilidad, <a href=\"https:\/\/depthfirst.com\/nginx-rift\">descubierto<\/a> por Depthfirst, es un problema de desbordamiento del b\u00fafer de mont\u00f3n que afecta a ngx_http_rewrite_module (CVE-2026-42945, puntuaci\u00f3n CVSS v4: 9.2) y que podr\u00eda permitir a un atacante lograr la ejecuci\u00f3n remota de c\u00f3digo o provocar una denegaci\u00f3n de servicio (DoS) con solicitudes manipuladas. ha sido nombrado en clave <strong>Grieta NGINX<\/strong>.<\/p>\n<p>\u00abNGINX Plus y NGINX Open Source tienen una vulnerabilidad en el m\u00f3dulo ngx_http_rewrite_module\u00bb, F5 <a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161019\">dicho<\/a> en un aviso publicado el mi\u00e9rcoles. \u00abEsta vulnerabilidad existe cuando la directiva de reescritura va seguida de una directiva de reescritura, if o set y una captura de expresi\u00f3n regular compatible con Perl (PCRE) sin nombre (por ejemplo, $1, $2) con una cadena de reemplazo que incluye un signo de interrogaci\u00f3n (?)\u00bb.<\/p>\n<p>\u00abUn atacante no autenticado, junto con condiciones fuera de su control, puede explotar esta vulnerabilidad enviando solicitudes HTTP dise\u00f1adas. Esto puede causar un desbordamiento del b\u00fafer en el proceso de trabajo de NGINX, lo que lleva a un reinicio. Adem\u00e1s, para sistemas con la aleatorizaci\u00f3n del dise\u00f1o del espacio de direcciones (ASLR) deshabilitada, la ejecuci\u00f3n de c\u00f3digo es posible\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/threatlabz-vpn-risk-2026-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEhnNON5UeWywT7OcPNw7V4L7QNWnCnm7Xl_99Y9ek8dL-gRwx-bWxQM1TKqt8deqqrdpUyKMuuijAWyyPQVB0s0qf8ntQ6ldFAJLru-QUWhddKTopc7SeNbBBnd-TsfFyRPP-AAyDuclLlL6XHK4_LXqDC_7eyaz9pzToYr7U543MhrJ7qcK-89sVWHTQUZ\/s728-e100\/zz-2-d.jpg\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>El problema se ha abordado en las siguientes versiones despu\u00e9s de la divulgaci\u00f3n responsable el 21 de abril de 2026:<\/p>\n<ul>\n<li>NGINX Plus R32 \u2013 R36 (Correcciones introducidas en R32 P6 y R36 P4)<\/li>\n<li>NGINX Open Source 1.0.0 \u2013 1.30.0 (Correcciones introducidas en 1.30.1 y 1.31.0)<\/li>\n<li>NGINX Open Source 0.6.27 \u2013 0.9.7 (No se planean correcciones)<\/li>\n<li>Administrador de instancias NGINX 2.16.0 \u2013 2.21.1<\/li>\n<li>F5 WAF para NGINX 5.9.0 \u2013 5.12.1<\/li>\n<li>Aplicaci\u00f3n NGINX Protege WAF 4.9.0 \u2013 4.16.0<\/li>\n<li>Aplicaci\u00f3n NGINX Protege WAF 5.1.0 \u2013 5.8.0<\/li>\n<li>F5 DoS para NGINX 4.8.0<\/li>\n<li>Aplicaci\u00f3n NGINX Protege DoS 4.3.0 \u2013 4.7.0<\/li>\n<li>Estructura de puerta de enlace NGINX 1.3.0 \u2013 1.6.2<\/li>\n<li>Estructura de puerta de enlace NGINX 2.0.0 \u2013 2.5.1<\/li>\n<li>Controlador de ingreso NGINX 3.5.0 \u2013 3.7.2<\/li>\n<li>Controlador de ingreso NGINX 4.0.0 \u2013 4.0.1<\/li>\n<li>Controlador de ingreso NGINX 5.0.0 \u2013 5.4.1<\/li>\n<\/ul>\n<p>En su propio aviso, Depthfirst dijo que la vulnerabilidad podr\u00eda permitir que un atacante remoto y no autenticado corrompa el mont\u00f3n de un proceso de trabajo NGINX enviando un URI manipulado. Lo que hace que la vulnerabilidad sea grave es que se puede acceder a ella sin autenticaci\u00f3n, puede usarse de manera confiable para desencadenar el desbordamiento del mont\u00f3n y puede conducir a la ejecuci\u00f3n remota de c\u00f3digo en el proceso de trabajo de NGINX.<\/p>\n<p>\u00abUn atacante que puede llegar a un servidor NGINX vulnerable a trav\u00e9s de HTTP puede enviar una \u00fanica solicitud que desborda el mont\u00f3n en el proceso de trabajo y logra la ejecuci\u00f3n remota de c\u00f3digo\u00bb, dijo Depthfirst. \u00abNo existe ning\u00fan paso de autenticaci\u00f3n, ning\u00fan requisito de acceso previo y no es necesaria una sesi\u00f3n existente\u00bb.<\/p>\n<p>\u00abLos bytes escritos m\u00e1s all\u00e1 de la asignaci\u00f3n se derivan del URI del atacante, por lo que la corrupci\u00f3n la determina el atacante en lugar de ser aleatoria. Las solicitudes repetidas tambi\u00e9n se pueden usar para mantener a los trabajadores en un bucle de fallas y degradar la disponibilidad de cada sitio atendido por la instancia\u00bb.<\/p>\n<div class=\"dog_two clear\">\n<div class=\"cf\"><a href=\"https:\/\/thehackernews.uk\/ai-cant-stop-d\" rel=\"nofollow noopener sponsored\" target=\"_blank\"><img loading=\"lazy\" decoding=\"async\" class=\"lazyload\" alt=\"Ciberseguridad\" src=\"https:\/\/blogger.googleusercontent.com\/img\/b\/R29vZ2xl\/AVvXsEjPEV6-530TOlxG6PjrmdlY623wpBwduZ7t1HV6flcmO5R4q4AmfixDUzW0CrhlvMVNWbhvOIso-UDNTka4W_W9Chrdj_dglwBZwi7DuePM2IMIl-hfUYVIqBXgfpr_2619K8Gptb4LzwJ6gUbi7lWl2M8AFQJsHEaw63Q7tZ6708YGruiHrr0Y2W9YYxLQ\/s728-e100\/ThreatLocker-d.png\" width=\"729\" height=\"91\"\/><\/a><\/div>\n<\/div>\n<p>Tambi\u00e9n se parchearon en NGINX Plus y NGINX Open Source otras tres fallas:<\/p>\n<ul>\n<li><strong><a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161027\">CVE-2026-42946<\/a><\/strong>  (Puntuaci\u00f3n CVSS v4: 8.3): una vulnerabilidad de asignaci\u00f3n de memoria excesiva en los m\u00f3dulos ngx_http_scgi_module y ngx_http_uwsgi_module que podr\u00eda permitir a un atacante remoto no autenticado con capacidades de adversario en el medio (AitM) controlar las respuestas de un servidor ascendente para leer la memoria del proceso de trabajo NGINX o reiniciarlo cuando se configura scgi_pass o uwsgi_pass.<\/li>\n<li><strong><a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161021\">CVE-2026-40701<\/a><\/strong>  (Puntuaci\u00f3n CVSS v4: 6.3): una vulnerabilidad de uso despu\u00e9s de la liberaci\u00f3n en el m\u00f3dulo ngx_http_ssl_module que podr\u00eda permitir que un atacante remoto no autenticado tenga un control limitado de la modificaci\u00f3n de datos o reinicie el proceso de trabajo NGINX cuando la directiva ssl_verify_client est\u00e1 configurada en \u00abactivada\u00bb u \u00abopcional\u00bb y la directiva ssl_ocsp est\u00e1 configurada en \u00abactivada\u00bb.<\/li>\n<li><strong><a href=\"https:\/\/my.f5.com\/manage\/s\/article\/K000161028\">CVE-2026-42934<\/a><\/strong>  (Puntuaci\u00f3n CVSS v4: 6.3): una vulnerabilidad de lectura fuera de l\u00edmites en el m\u00f3dulo ngx_http_charset_module que podr\u00eda permitir que un atacante remoto no autenticado revele el contenido de la memoria o reinicie el proceso de trabajo de NGINX cuando se configuran las directivas charset, source_charset, charset_map y proxy_pass con el almacenamiento en b\u00fafer deshabilitado (\u00aboff\u00bb).<\/li>\n<\/ul>\n<p>Se recomienda a los usuarios que apliquen las \u00faltimas versiones para una protecci\u00f3n \u00f3ptima. Si el parche inmediato no es una opci\u00f3n para CVE-2026-42945, se recomienda a los usuarios cambiar la configuraci\u00f3n de reescritura reemplazando capturas sin nombre con capturas con nombre en cada directiva de reescritura afectada.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Los investigadores de ciberseguridad han revelado m\u00faltiples vulnerabilidades de seguridad que afectan a NGINX Plus y NGINX Open, incluida una falla cr\u00edtica que no se detect\u00f3 durante 18 a\u00f1os. La vulnerabilidad, descubierto por Depthfirst, es un problema de desbordamiento del b\u00fafer de mont\u00f3n que afecta a ngx_http_rewrite_module (CVE-2026-42945, puntuaci\u00f3n CVSS v4: 9.2) y que podr\u00eda [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":731,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[25,5],"tags":[514,993,24,263,222,1842,265,779,2517,132],"class_list":["post-864","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-noticias","category-trending","tag-anos","tag-autenticado","tag-cyberdefensa-mx","tag-falla","tag-modulo","tag-nginx","tag-permite","tag-rce","tag-reescritura","tag-una"],"_links":{"self":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/864","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/comments?post=864"}],"version-history":[{"count":0,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/posts\/864\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media\/731"}],"wp:attachment":[{"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/media?parent=864"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/categories?post=864"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cybercolombia.co\/index.php\/wp-json\/wp\/v2\/tags?post=864"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}