آسیب‌پذیری بحرانی دور زدن احراز هویت Nginx UI اکنون به‌طور فعال در محیط واقعی مورد بهره‌برداری قرار می‌گیرد

یک آسیب‌پذیری بحرانی در رابط مدیریتی Nginx UI با شناسه CVE-2026-33032 در حال بهره‌برداری فعال است که به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (authentication) کنترل کامل سرور را در دست بگیرند. این نقص امنیتی ناشی از محافظت‌نشده بودن نقطه پایانی (endpoint) به نام «mcp_message/» در پروتکل زمینه مدل (Model Context Protocol یا MCP) است که امکان فراخوانی دستورات مدیریتی ممتاز را برای هر مهاجم شبکه‌ای فراهم می‌کند. بر اساس توضیحات پایگاه داده آسیب‌پذیری‌های ملی (NVD)، مهاجم می‌تواند بدون هیچ‌گونه اعتبارسنجی، nginx را راه‌اندازی مجدد کند، فایل‌های پیکربندی را ایجاد، ویرایش یا حذف نماید و در نهایت کنترل کامل سرویس را به دست گیرد.

شرکت Nginx UI در ۱۵ مارس نسخه ۲.۳.۴ را به عنوان وصله امنیتی منتشر کرد، اما پس از انتشار عمومی جزئیات فنی و کد اثبات مفهوم (Proof-of-Concept یا PoC)، شرکت اطلاعات تهدید Recorded Future تأیید کرد که این آسیب‌پذیری به‌طور فعال مورد سوءاستفاده قرار می‌گیرد. بر اساس اسکن‌های اینترنتی شرکت Pluto Security با استفاده از موتور Shodan، در حال حاضر حدود ۲,۶۰۰ نمونه در معرض عموم قرار دارند که بیشتر آن‌ها در چین، ایالات متحده، اندونزی، آلمان و هنگ‌کنگ واقع شده‌اند. Nginx UI با بیش از ۱۱,۰۰۰ ستاره در GitHub و ۴۳۰,۰۰۰ بار دریافت از Docker از محبوبیت بالایی برخوردار است. مدیران سیستم به‌شدت توصیه می‌شوند هرچه سریع‌تر به آخرین نسخه امن یعنی ۲.۳.۶ ارتقا دهند.