nginx publicó el 14 de octubre de 2026 las versiones 1.30.6 y 1.31.7 con cinco correcciones de seguridad. Los fallos están en funciones como HTTP/3, las sesiones TLS y los alias de carpetas. Afecta a cualquier web servida por nginx, sea en un servidor propio o en un hosting.
Lo que se sabe
- Las versiones: según nginx.org, salen la 1.30.6 de la rama estable y la 1.31.7 de la rama mainline. Son las versiones que corrigen los cinco fallos.
- Los cinco fallos, según la página oficial de avisos:
- CVE-2026-15176: desbordamiento de memoria al usar `alias` con `rewrite`. Afecta de la 0.1.29 a la 1.31.6.
- CVE-2026-93479: desbordamiento al evaluar expresiones con variables. Afecta de la 1.30.0 a la 1.30.5 y de la 1.31.2 a la 1.31.6.
- CVE-2026-95101: inyección en el cuerpo de las peticiones con HTTP/3. Afecta de la 1.25.0 a la 1.31.6.
- CVE-2026-97629: falsificación de sesiones TLS cuando nginx rota solo las claves de tickets de sesión. Afecta de la 1.23.2 a la 1.31.6.
- CVE-2026-97205: uso de memoria liberada con el módulo SSI y AIO. Afecta de la 0.8.11 a la 1.31.6.
- Gravedad: nginx califica los cinco como de gravedad media. Según The Hacker News, F5, la empresa dueña de nginx, puntúa tres de ellos con 9,2 sobre 10.
- njs: el mismo día salió njs 1.0.2, el módulo de JavaScript de nginx, con dos arreglos en el manejo de XML.
- Ataques: según The Hacker News, a 15 de octubre ni nginx ni F5 informaban de ataques.
Qué cambia y qué no
Cambia la versión mínima segura: 1.30.6 o 1.31.7. Las ramas anteriores, como la 1.28, no reciben estos arreglos desde nginx.org.
No todos los servidores están expuestos a los cinco: cada fallo depende de una función concreta de la configuración. Y si nginx viene de los paquetes de tu sistema operativo, el número de versión puede no cambiar aunque el parche ya esté aplicado.
Cómo saber si te afecta
- Hosting compartido: no puedes actualizar nginx tú. Pregunta a tu proveedor si sus servidores ya tienen nginx 1.30.6 o 1.31.7, o el parche de estos cinco CVE.
- VPS o servidor propio: ejecuta `nginx -v` para ver la versión. Si es anterior a 1.30.6 y la instalaste desde nginx.org, actualiza.
- Si nginx viene de tu distribución (Ubuntu, Debian, AlmaLinux), actualiza con su gestor de paquetes y mira en su página de seguridad si ya publicó el parche de estos CVE.
- Revisa qué usas. Con `nginx -T` ves la configuración completa. Busca `alias`, `aio`, `ssi`, `http3` o `quic`, y `ssl_session_cache shared` sin `ssl_session_ticket_key`. Si aparecen, ese servidor tiene más prisa.
- Reinicia tras actualizar y comprueba que la web carga y que el certificado sigue válido.
Relacionado: Let's Encrypt baja sus certificados a 64 días: qué revisar
Fuentes
- nginx.org, noticias del 14 de octubre de 2026 (en inglés)
- nginx.org, avisos de seguridad (en inglés)
- nginx.org, avisos de seguridad de njs (en inglés)
- The Hacker News, 15 de octubre de 2026 (en inglés)
Actualizaciones: si aparecen ataques con estos fallos o las distribuciones publican sus parches, se añadirá aquí con su enlace.