Критична вразливість CVE-2026-33032 у nginx-ui — популярному веб-інтерфейсі для управління сервером Nginx — зараз активно використовується зловмисниками. Проблема виникає через незахищений HTTP-ендпоінт /mcp_message: він не перевіряє особу того, хто до нього звертається, оскільки стандартний «білий список» IP-адрес порожній, а програма за замовчуванням трактує порожній список як «дозволено всім». Це означає, що будь-який зловмисник у мережі може виконувати привілейовані дії — перезапускати Nginx, створювати, змінювати або видаляти конфігураційні файли — і таким чином повністю захопити контроль над вебсервером. CVSS-оцінка вразливості — 9.8.

Вразливість отримала кодову назву MCPwn від компанії Pluto Security, яка її виявила. Атаку можна провести лише двома HTTP-запитами. Перший встановлює сесію через ендпоінт /mcp, другий — без жодної автентифікації — надсилає команди через /mcp_message. Після компрометації зловмисники можуть перехоплювати весь трафік, що проходить через сервер, красти токени адміністратора, отримувати ключі SSL-сертифікатів, а також повністю картувати серверну інфраструктуру. За даними пошукової системи Shodan — станом на момент публікації у мережі знаходилось близько 2 689 вразливих екземплярів nginx-ui. Найбільша їх концентрація зафіксована в Китаї, США, Індонезії, Німеччині та Гонконзі.