Обычный веб-сервер может перейти под полный контроль злоумышленника после одного запроса из интернета. Новая уязвимость в популярной панели управления Nginx уже используется в реальных атаках, и для взлома даже не нужен пароль.

Проблема получила идентификатор CVE-2026-33032 (оценка по CVSS: 9.8) и связана с тем, что nginx-ui оставляет без защиты служебный адрес «/mcp_message». Через него любой человек в сети может выполнять команды с повышенными правами без проверки доступа. Речь идёт о действиях, которые напрямую управляют сервером: перезапуске Nginx, изменении или удалении конфигурационных файлов и их автоматической перезагрузке.

🔗Ссылка:
https://www.securitylab.ru/news/571634.php