La vulnerabilidad crítica CVE-2026-42945 en NGINX Plus y NGINX Open, que permite provocar una denegación de servicio o, bajo determinadas condiciones, ejecutar código arbitrario, según la empresa VulnCheck, ya está siendo explotada por atacantes, apenas unos días después de su divulgación pública. Paralelamente se han registrado ataques contra tres vulnerabilidades críticas en openDCIM, que se combinan en una cadena para lograr Remote Code Execution (RCE). Las organizaciones que utilizan estos productos deben evaluar de inmediato su exposición y aplicar los parches disponibles.

CVE-2026-42945: desbordamiento de búfer en NGINX

La vulnerabilidad CVE-2026-42945 es un desbordamiento de búfer en el heap (heap buffer overflow) en el módulo ngx_http_rewrite_module. Según se ha informado, están afectadas las versiones de NGINX desde la 0.6.27 hasta la 1.30.0. Una explotación satisfactoria permite que un atacante no autenticado, mediante peticiones HTTP especialmente diseñadas, provoque la finalización anómala de los procesos worker (worker processes), lo que conduce a una denegación de servicio.

La posibilidad de Remote Code Execution (RCE) existe, pero requiere que se cumplan varias condiciones simultáneamente. El investigador de seguridad Kevin Beaumont señaló que para la explotación se necesita una configuración específica de NGINX que el atacante debe conocer o descubrir, y que para conseguir RCE en el sistema objetivo debe estar desactivada la tecnología ASLR (Address Space Layout Randomization).

Evaluación realista de la amenaza

Los mantenedores de AlmaLinux proporcionaron en su análisis una evaluación ponderada: transformar un heap buffer overflow en una ejecución de código fiable no es trivial con la configuración estándar y, en sistemas con ASLR activado (que es el ajuste predeterminado en todas las versiones soportadas de AlmaLinux), la creación de un exploit universal y robusto parece extremadamente complicada. No obstante, como subrayaron los mantenedores, «no trivial» no significa «imposible», y el escenario de denegación de servicio mediante la finalización anómala de los worker processes es por sí mismo lo bastante realista como para considerar esta vulnerabilidad como urgente.

Esta evaluación es fundamental para una correcta priorización. Las organizaciones en las que ASLR está desactivado por cualquier motivo (sistemas obsoletos, requisitos de compatibilidad específicos) se encuentran en una zona de riesgo significativamente mayor. Para el resto, la principal amenaza es un ataque de denegación de servicio (DoS), que aun así puede causar daños graves cuando NGINX se utiliza como reverse proxy o balanceador de carga para servicios críticos.

Según VulnCheck, ya se han observado intentos de explotación en su red de honeypots (honeypot). Los objetivos y la naturaleza de la actividad maliciosa aún no se han determinado.

Cadena de vulnerabilidades en openDCIM: de SQL injection a reverse shell

Paralelamente, VulnCheck informó de la explotación de dos vulnerabilidades críticas en openDCIM, una aplicación de código abierto para la gestión de la infraestructura de centros de datos:

• CVE-2026-28515 (CVSS 9.3): ausencia de verificación de autorización, que permite a un usuario autenticado acceder a la funcionalidad de configuración de LDAP con independencia de los privilegios asignados. En despliegues basados en Docker donde la variable REMOTE_USER está establecida sin autenticación obligatoria, el endpoint puede ser accesible sin credenciales, lo que abre la puerta a una modificación no autorizada de la configuración de la aplicación.
• CVE-2026-28517 (CVSS 9.3): OS command injection en el componente report_network_map.php. El parámetro dot se pasa a un comando de shell sin sanitización, lo que permite la ejecución de código arbitrario.
• CVE-2026-28516 (CVSS 9.3): SQL injection en openDCIM.

Las tres vulnerabilidades fueron descubiertas por el investigador de seguridad de VulnCheck Valentin Lobstein en febrero de 2026. Según su análisis técnico, estas tres vulnerabilidades pueden encadenarse para lograr Remote Code Execution (RCE) con cinco peticiones HTTP, seguidas del lanzamiento de una reverse shell. Esto hace que la cadena de ataque sea prácticamente totalmente automatizable.

Evaluación del impacto

La magnitud del impacto potencial de la vulnerabilidad de NGINX viene determinada por la ubicuidad de este servidor web: lo utilizan millones de sitios y servicios en todo el mundo como servidor web, reverse proxy y balanceador de carga. Incluso si el escenario de RCE es difícil de alcanzar, un ataque DoS contra los worker processes de NGINX puede provocar fallos en cascada de los servicios que se encuentran detrás. Son especialmente vulnerables las organizaciones con configuraciones no estándar del módulo de reescritura y sistemas obsoletos sin ASLR.

En el caso de openDCIM, el riesgo se concentra en el ámbito de la gestión de centros de datos. La compromisión del sistema de gestión de la infraestructura de un CPD puede proporcionar al atacante información detallada sobre la topología física y lógica de la red, la ubicación del equipamiento y la configuración, lo que crea un punto de apoyo para ataques posteriores contra infraestructura crítica. La existencia de una cadena de explotación completamente automatizable compuesta por tres vulnerabilidades reduce considerablemente la barrera de entrada para los atacantes.

Recomendaciones de seguridad

Para NGINX

• Instale las últimas actualizaciones de F5 para NGINX Plus y NGINX Open que corrigen CVE-2026-42945.
• Asegúrese de que ASLR está activado en todos los servidores con NGINX; esto dificulta enormemente la explotación de escenarios de RCE.
• Realice una auditoría de las configuraciones de ngx_http_rewrite_module; la vulnerabilidad requiere una configuración específica para su explotación.
• Considere la implementación de reglas de WAF para detectar peticiones HTTP anómalas dirigidas al módulo de reescritura.
• Monitorice las finalizaciones anómalas de los worker processes de NGINX como posible indicador de intentos de explotación.

Para openDCIM

• Compruebe la disponibilidad de actualizaciones de openDCIM que corrijan CVE-2026-28515, CVE-2026-28516 y CVE-2026-28517.
• En despliegues sobre Docker, asegúrese de que la variable REMOTE_USER no esté establecida sin un mecanismo de autenticación adecuado.
• Restringa el acceso de red a openDCIM: la aplicación no debe ser accesible desde Internet.
• Revise los servidores en busca de archivos PHP atípicos que puedan ser web shells instaladas durante una compromisión.

Ambos grupos de vulnerabilidades requieren una respuesta inmediata: para NGINX, la prioridad es la actualización y la verificación de la configuración de ASLR; para openDCIM, la actualización y el aislamiento del acceso externo. Dada la explotación activa confirmada de ambos productos y la existencia de herramientas de ataque automatizadas, la ventana para aplicar parches de forma segura se está cerrando rápidamente.