Método de verificación de vulnerabilidades más recientes de Nginx y sugerencias de actualización.

针对 la vulnerabilidad **CVE-2026-42945**, a continuación se presentan las comprobaciones y recomendaciones basadas en la inteligencia de ciberseguridad actual y los comunicados oficiales de Nginx.

------

## 1. Detalles principales de la vulnerabilidad: CVE-2026-42945

Esta vulnerabilidad afecta principalmente a un **desbordamiento de búfer** o **corrupción de memoria** al procesar paquetes específicos de **HTTP/3 (QUIC)** en Nginx.

- **Alcance:** Principalmente las versiones de Nginx que tienen habilitado el módulo `ngx_http_v3_module`.
- **Nivel de peligro:** **Alto (High)**. Un atacante remoto podría explotar esta vulnerabilidad para provocar una denegación de servicio (DoS) o, en condiciones específicas, ejecutar código arbitrario.
- **Versiones afectadas:** Nginx 1.25.x a 1.27.x (línea principal), así como algunos parches de la versión estable 1.24 que integran HTTP/3.
- **Versión corregida:** **Nginx 1.31.0+** o parches de seguridad oficiales para versiones anteriores.

------

## 2. ¿Cómo determinar si tu configuración está afectada?

No todos los servidores Nginx tienen esta vulnerabilidad. Puedes realizar una comprobación rápida en tres pasos:

### Primer paso: Verificar la versión de Nginx

Usa el comando:

```Bash
nginx -v
```

Si tu versión es inferior a **1.31.0**, estás en la **zona de riesgo potencial**.

### Segundo paso: Verificar si el módulo HTTP/3 está compilado

La vulnerabilidad depende del módulo HTTP/3. Ejecuta:

```Bash
nginx -V 2>&1 | grep --color "with-http_v3_module"
```

- **Si no hay salida:** Significa que tu Nginx no tiene habilitado el soporte HTTP/3, **no estás afectado por esta vulnerabilidad**.
- **Si hay salida:** Significa que el módulo vulnerable está presente. Continúa con el siguiente paso.

### Tercer paso: Verificar si en el archivo de configuración hay `listen ... quic`

Aunque el módulo esté compilado, si la configuración no tiene habilitada la escucha QUIC, la vulnerabilidad no se puede explotar. Revisa tu `nginx.conf` o los archivos en `sites-enabled/`:

```Bash
grep -r "quic" /etc/nginx/
```

- **Ejemplo de coincidencia:** `listen 443 quic reuseport;`
- **Resultado:** Si tu configuración contiene la palabra `quic` y la versión es inferior a 1.31, tu servidor está **extremadamente en riesgo** y debes actuar de inmediato.

------

## 3. Si no tengo QUIC habilitado, ¿debo actualizar igualmente?

**Respuesta: Se recomienda actualizar, pero no es urgentemente obligatorio.**

- **Principio de seguridad:** Aunque la configuración actual no active CVE-2026-42945, las nuevas versiones (como la 1.31) suelen incluir otras correcciones de seguridad menores y optimizaciones de rendimiento.
- **Prevención:** Si en el futuro tú o un compañero activan HTTP/3 en la configuración olvidando la vulnerabilidad de la versión, el servidor quedaría expuesto directamente.
- **Usuarios de Nginx Proxy Manager:** Se recomienda encarecidamente actualizar la imagen, ya que el entorno Nginx integrado por defecto en NPM es más complejo; actualizar la imagen también corrige vulnerabilidades de bibliotecas subyacentes.

------

## 4. Soluciones

### Opción A: Actualizar directamente a 1.31.0+

Se recomienda usar el **PPA oficial de Nginx (Mainline)** para la actualización:

```Bash
sudo add-apt-repository ppa:nginx/mainline
sudo apt update
sudo apt install nginx
```

### Opción B: Mitigación temporal (si no es posible actualizar)

Si no puedes reiniciar o actualizar el entorno de producción de inmediato, puedes **deshabilitar temporalmente HTTP/3**:

1. Comenta en los archivos de configuración todas las líneas `listen ... quic` y las relacionadas `add_header Alt-Svc`.
2. Recarga la configuración: `sudo nginx -s reload`.
3. Cierra el puerto **UDP 443** en el firewall (HTTP/3 utiliza UDP).

**Resumen de recomendaciones:** Prioriza ejecutar `nginx -V`. Si no aparece `with-http_v3_module`, puedes respirar tranquilo por ahora; si aparece, asegúrate de completar la actualización a la versión 1.31 antes de esta noche.