یک آسیب‌پذیری امنیتی بحرانی در ابزار مدیریت وب‌محور Nginx به نام nginx-ui با شناسه CVE-2026-33032 (امتیاز CVSS: ۹.۸) کشف و به‌طور فعال در محیط واقعی مورد بهره‌برداری قرار گرفته است. این آسیب‌پذیری که توسط شرکت Pluto Security با نام MCPwn نام‌گذاری شده، یک نقص دور زدن احراز هویت (authentication bypass) است که به مهاجمان اجازه می‌دهد بدون هیچ‌گونه اعتبارسنجی، کنترل کامل سرویس Nginx را در اختیار بگیرند. نقطه ضعف اصلی در یکپارچه‌سازی پروتکل MCP (Model Context Protocol) نهفته است؛ به‌گونه‌ای که endpoint مسیر `/mcp_message` فاقد احراز هویت اجباری بوده و لیست سفید IP به‌صورت پیش‌فرض خالی است که عملاً دسترسی برای همه را مجاز می‌شمارد. محقق امنیتی یوتام پرکال اعلام کرد که این حمله تنها با دو درخواست HTTP در چند ثانیه قابل اجراست و می‌تواند منجر به تغییر فایل‌های پیکربندی، بارگذاری مجدد سرور و حتی سرقت اطلاعات اعتباری مدیران شود.
این آسیب‌پذیری در نسخه ۲.۳.۴ که در ۱۵ مارس ۲۰۲۶ منتشر شد، برطرف گردیده است. داده‌های Shodan نشان می‌دهد که حدود ۲,۶۸۹ نمونه از این ابزار در اینترنت در معرض دید عموم قرار دارند که بیشتر آن‌ها در چین، آمریکا، اندونزی، آلمان و هنگ‌کنگ مستقر هستند. شرکت Pluto Security هشدار داده که سازمان‌ها باید فوری به نسخه ۲.۳.۴ به‌روزرسانی کنند یا قابلیت MCP را غیرفعال نمایند. این رویداد هم‌زمان با کشف دو آسیب‌پذیری زنجیره‌ای در سرور MCP شرکت Atlassian (با نام MCPwnfluence) رخ داده که امکان اجرای کد از راه دور (RCE) بدون احراز هویت را فراهم می‌آورند.
کلمات کلیدی : آسیب‌پذیری nginx-ui, CVE-2026-33032, دور زدن احراز هویت Nginx, بهره‌برداری MCP Protocol, اجرای کد از راه دور RCE, به‌روزرسانی امنیتی nginx-ui 2.3.4
نظر شما چیست؟
خوشحال می‌شویم نظر شما را بدانیم. نظری بنویسید.