Aktywnie wykorzystywana krytyczna podatność w Nginx
CSIRT CeZ ostrzega: w komponencie Nginx UI występuje aktywnie wykorzystywana krytyczna podatność,, która umożliwia zdalne i nieautoryzowane przejęcie kontroli nad usługą Nginx. Zalecamy pilne podjęcie działań.
Charakterystyka podatności
- CVE-2026-33082
- CVSS 3.1:9,8 (Critical)
Jak działa podatność
Podatność pozwala zdalnym atakującym, bez logowania, uzyskać pełną kontrolę nad usługą nginx za pośrednictwem Nginx UI. Atakujący może m.in. restartować nginx, tworzyć, zmieniać lub usuwać jego pliki konfiguracyjne oraz wymuszać ponowne wczytanie konfiguracji. W praktyce oznacza to, że napastnik może całkowicie przejąć działanie serwera nginx i sterować nim bez żadnych uprawnień. Luka jest obecnie aktywnie wykorzystywana przez cyberprzestępców.
Podatne systemy
- Nginx UI w wersjach do 2.3.5 włącznie.
Rekomendowane działania
- Aktualizacja do wersji Nginx UI 2.3.6 lub innej.