CVE-2026-42945 en el módulo rewrite de NGINX: qué saber

Shared FAQ page chrome (breadcrumb, dates, read time, «Siga leyendo», enquiry block, category labels): see INDEX-AND-CHROME.md. Translate once.

Se ha notificado una vulnerabilidad identificada como CVE-2026-42945 en el módulo ngx_http_rewrite_module de NGINX.

El problema afecta a configuraciones concretas de NGINX que utilizan directivas rewrite con capturas PCRE sin nombre, como $1 o $2, cuando la cadena de sustitución incluye un signo de interrogación ?. En determinadas condiciones, un atacante sin autenticar puede enviar peticiones HTTP manipuladas que provoquen la caída de un proceso worker de NGINX. En sistemas con Address Space Layout Randomization (ASLR) desactivado, también puede ser posible la ejecución de código.

Según el aviso oficial de NGINX, están afectadas las versiones de NGINX Open Source desde la 0.6.27 hasta la 1.30.0. Las versiones 1.30.1 y posteriores y 1.31.0 y posteriores figuran como no vulnerables.

Producto	Rama	Versión vulnerable	Versión corregida	Gravedad	Componente vulnerable
NGINX Plus	37.x	None	37.0.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Plus	R32 to R36	R32 to R36	R32 P6 / R36 P4	High 8.1 / Critical 9.2	ngx_http_rewrite_module
NGINX Open Source	1.x	1.0.0 to 1.30.0	1.30.1 / 1.31.0	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Acción recomendada

EuroVPS recomienda encarecidamente a todos los clientes que ejecutan NGINX que verifiquen la versión instalada y revisen sus reglas rewrite de NGINX.

Compruebe la versión de NGINX instalada:

nginx -v

Busque reglas rewrite que usen capturas sin nombre:

nginx -T 2>/dev/null | grep -nE 'rewrite[[:space:]].*\$[0-9]'

Actualice a una versión corregida de NGINX

Actualice NGINX desde los paquetes de su proveedor de sistema operativo, de su proveedor de panel de control o de F5; las versiones corregidas están en la tabla anterior.

Mitigación temporal

Si no es posible actualizar de inmediato, revise las directivas rewrite afectadas y sustituya las capturas sin nombre, como $1 y $2, por capturas con nombre donde proceda.

Ejemplo de regla rewrite con una captura sin nombre:

rewrite ^/user/([0-9]+)$ /profile.php?id=$1? last;

Ejemplo con una captura con nombre:

rewrite ^/user/(?<userid>[0-9]+)$ /profile.php?id=$userid? last;

Después de cambiar la configuración, valide y recargue siempre NGINX:

nginx -t
systemctl reload nginx

Servidores Plesk

Plesk ha confirmado que Plesk for Linux incluye NGINX como parte de su instalación básica y puede verse afectado por CVE-2026-42945, según la versión de NGINX instalada y la configuración de las reglas rewrite. El problema se aplica cuando las reglas rewrite hacen referencia a capturas regex sin nombre, como $1, $2 y patrones similares.

Plesk indica que las versiones de NGINX anteriores a 1.31.1 mainline o 1.30.1 stable son vulnerables si existen reglas rewrite afectadas. Plesk señala también que se espera un paquete NGINX actualizado a través del canal oficial de actualizaciones de Plesk.

En los servidores gestionados con Plesk, los clientes deben aplicar la actualización oficial de Plesk en cuanto esté disponible. EuroVPS no recomienda sustituir el paquete NGINX que proporciona Plesk por compilaciones de terceros sin soporte, ya que puede afectar a la integración con Plesk y a futuras actualizaciones.

Producto	Rama	Versión vulnerable	Versión corregida	Gravedad	Componente vulnerable
Plesk for Linux NGINX	Plesk-provided NGINX	Below 1.31.1 mainline or below 1.30.1 stable, if affected rewrite rules are present	Official Plesk NGINX update package	High 8.1 / Critical 9.2	ngx_http_rewrite_module

Recomendación de EuroVPS

Confirme también que ASLR está activado: sysctl kernel.randomize_va_space debe devolver 2.

¿Necesita ayuda?

Si EuroVPS gestiona su servidor, abra un ticket de soporte y revisaremos y parchearemos NGINX por usted.

Referencias

Aviso de Plesk: CVE-2026-42945 en NGINX

Aviso de seguridad de F5 / NGINX para CVE-2026-42945

Registro NVD de CVE-2026-42945