Нова критична уязвимост, проследена като CVE-2026-33032, засяга Nginx UI – уеб интерфейс за управление на Nginx сървъри – и вече се използва активно в реални атаки.
Проблемът позволява на външен атакуващ да поеме пълен контрол над уеб сървър без никаква автентикация, което на практика означава компрометиране на цялата конфигурация и поведението на услугата.
Причината е в незащитен API endpoint (/mcp_message), част от MCP (Model Context Protocol) функционалността. Чрез него административни действия могат да бъдат изпълнявани без проверка за достъп, включително промяна на конфигурации и рестартиране на nginx.
Според анализ на компанията Pluto Security, атаката започва с установяване на SSE връзка и създаване на MCP сесия, след което атакуващият получава sessionID и директно комуникира със сървъра чрез уязвимия endpoint. Оттам нататък са достъпни всички административни функции, включително такива с разрушителен потенциал.
На практика това позволява четене на конфигурационни файлове, инжектиране на злонамерени server block-ове и автоматично презареждане на nginx, което води до незабавен ефект върху реалния трафик.
Уязвимостта е особено опасна, защото Nginx UI често се използва в продукционни среди за управление на публично достъпни услуги. Компрометирането му може да доведе до пренасочване на трафик, подмяна на съдържание или пълен контрол върху reverse proxy инфраструктура.
По данни от сканирания, около 2600 инстанции в интернет са потенциално изложени, като най-много са в Китай, САЩ, Индонезия, Германия и Хонконг. Според Recorded Future, уязвимостта вече се експлоатира активно и за нея съществуват публични proof-of-concept кодове, което значително увеличава риска.
Проблемът е отстранен в Nginx UI версия 2.3.6, а по-старите версии остават уязвими. Експертите препоръчват незабавно обновяване, тъй като дори кратко излагане на интернет може да е достатъчно за компрометиране.
