Retrospectiva del 2026-09-20, elaborada el 27 de octubre de 2026. La fecha corresponde a la jornada analizada; abajo figuran las fechas de publicación y revisión de las fuentes.
Qué cambia este aviso en su entorno
El punto de partida es CERTFR-2026-AVI-1182, publicado el 2026-09-16. Su alcance incluye NGINX Open Source, NGINX Plus, NGINX Ingress Controller, NGINX Gateway Fabric. Las consecuencias indicadas son denegación de servicio, alteración de datos. Corresponden al alcance del aviso; no se atribuyen todas ellas a cada producto o CVE.
Este caso reúne 6 entradas de versiones; número de identificadores CVE: 1. Siga la corrección por componente: una actualización global satisfactoria no demuestra que NGINX Open Source y NGINX Gateway Fabric recibieran su corrección respectiva.
Productos y versiones que revisar
- Referencia
- CERTFR-2026-AVI-1182
- Primera publicación de la fuente
- 2026-09-16
- Última revisión disponible para esta jornada
- 2026-09-17
- Componentes citados
- NGINX Open Source, NGINX Plus, NGINX Ingress Controller, NGINX Gateway Fabric
- Identificadores CVE
- CVE-2026-90439
| Componente | Condición publicada |
|---|---|
| NGINX Open Source | < 1.30.5 |
| NGINX Open Source | 1.31.x : < 1.31.6 |
| NGINX Plus | 37.x : < 37.0.6.2 |
| NGINX Plus | 37.1.x : < 37.1.1.2 |
| NGINX Ingress Controller | < 5.6.3 |
| NGINX Gateway Fabric | 2.x : < 2.7.2 |
Para NGINX Open Source, la condición publicada es «< 1.30.5». Compare la versión realmente cargada con esa condición dentro de su propia rama. Corregir otra edición de NGINX Open Source, NGINX Plus no permite cerrar este caso.
Mecanismo y requisitos
La alteración de datos puede distorsionar decisiones. Compare objetos sensibles con una referencia fiable y pruebe restaurar una muestra; una copia no verificada no demuestra integridad.
La ficha primaria CVE-2026-90439, publicada por f5, abarca NGINX Plus, NGINX Open Source. La revisión retenida es del 2026-09-16. Su alcance se distingue de las integraciones y agrupaciones del aviso CERTFR-2026-AVI-1182.
La métrica publicada para CVE-2026-90439 es CVSS 4.0, 6.9/10. El vector describe requisitos técnicos; no mide frecuencia de ataques ni probabilidad de compromiso de su instalación.
CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N
- Vector de ataque
- red
- Privilegios previos
- ninguno
- Interacción del usuario
- ninguno
- Complejidad
- bajo
- Requisitos adicionales del ataque
- ninguno
- Debilidad
- CWE-122
Elegir la intervención adecuada
- Localice instancias de NGINX Open Source, versiones activas y responsables. Registre la condición < 1.30.5 junto con CERTFR-2026-AVI-1182.
- Compare la rama instalada con las notas del proveedor de NGINX Open Source. Prepare el paquete de esa rama y una prueba del servicio dependiente, conservando el estado anterior.
- Después de modificar NGINX Open Source, capture de nuevo la versión cargada y compruebe el recorrido indicado. Cada excepción necesita responsable, reducción de exposición y caducidad.
Verificar la corrección en un flujo real
Escenario de validación para adaptar a NGINX Open Source, NGINX Plus: Para NGINX Open Source, pruebe un flujo autorizado desde cada zona que alcance el servicio y confirme las restricciones administrativas. Si hay redundancia, compruebe ambos nodos y la persistencia de reglas tras la conmutación durante mantenimiento planificado. Es una propuesta defensiva, no una afirmación de pruebas realizadas sobre sistemas de terceros.
Límite de CERTFR-2026-AVI-1182: este análisis no sustituye los requisitos del proveedor ni la investigación de sus registros. Solo se reproducen versiones documentadas; no se inventan fechas de ataques ni víctimas.
Preguntas específicas del caso
¿Qué condición debe comprobarse para NGINX Open Source?
CERTFR-2026-AVI-1182 indica: NGINX Open Source — < 1.30.5. Compruebe edición y versión activa; no extienda el límite a ramas ausentes del aviso.
¿Por qué no usar una sola corrección para NGINX Open Source y NGINX Gateway Fabric?
CERTFR-2026-AVI-1182 distingue estos componentes dentro de 6 entradas. Relacione cada rama con su documentación de actualización y su propia prueba funcional.
¿Qué requisitos especifica la ficha CVE-2026-90439?
Para CVE-2026-90439, el vector publicado es CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:L/VA:L/SC:N/SI:N/SA:N. Verifique esas condiciones en NGINX Plus, NGINX Open Source antes de aplicarlas a una integración mencionada en CERTFR-2026-AVI-1182.
Fuentes y lecturas relacionadas
Guía práctica : Evaluación de la exposición cibernética: una lista de verificación priorizada
Profundizar en la decisión de este caso
- BIG-IP APM: contener la ejecución de código
- Citrix NetScaler ADC, NetScaler Gateway: contener la ejecución de código
Inventario completo del aviso original
La tabla del artículo puede ser un extracto. Estas listas contienen todas las entradas de sistemas afectados y CVE de la revisión indicada. No inventarían sus activos ni asignan cada CVE a cada producto.
Fuente oficial · CERTFR-2026-AVI-1182
Revisión del aviso : · Verificado el :
Sistemas afectados · 6
Se conserva el texto original francés para evitar traducciones ambiguas de las condiciones de versión.
- NGINX Open Source versions antérieures à 1.30.5
- NGINX Open Source versions 1.31.x antérieures à 1.31.6
- NGINX Plus versions 37.x antérieures à 37.0.6.2
- NGINX Plus versions 37.1.x antérieures à 37.1.1.2
- NGINX Ingress Controller versions antérieures à 5.6.3
- NGINX Gateway Fabric versions 2.x antérieures à 2.7.2