nginx-ui CVE-2026-33032 : auth bypass exploitée (9.8)

Les faits

The Hacker News a confirmé le 24 avril 2026 que la vulnérabilité CVE-2026-33032 nginx-ui, un contournement d'authentification affectant le panneau de gestion open source, faisait l'objet d'une exploitation active dans la nature. Notée 9.8 sur l'échelle CVSS, soit le niveau critique, cette faille autorise un attaquant non authentifié à s'affranchir intégralement des mécanismes de connexion de l'interface d'administration, puis à prendre le contrôle du service Nginx sous-jacent. Les chercheurs décrivent un scénario d'attaque particulièrement simple à reproduire : aucune interaction utilisateur, aucun privilège préalable ni accès réseau interne n'est requis, ce qui explique la rapidité avec laquelle les campagnes opportunistes se sont propagées. Une fois le panneau compromis, les opérateurs peuvent modifier les configurations, détourner le trafic web, déployer des tâches planifiées malveillantes et exécuter du code arbitraire sur le serveur hôte.

nginx-ui est largement déployé par les équipes DevOps qui souhaitent un contrôle visuel sur leurs reverse-proxies sans manipulation directe de fichiers. Sa surface d'attaque est d'autant plus problématique que la pratique courante consiste à l'exposer directement sur Internet, parfois derrière un simple basic auth ajouté en surcouche. Le projet a publié la version 2.1.6 corrigeant la faille le 23 avril, et recommande explicitement aux opérateurs de vérifier les logs d'accès pour détecter toute tentative d'exploitation antérieure au patch.

Impact et exposition

Une recherche Shodan indique plusieurs milliers d'instances nginx-ui exposées en clair sur le port 9000 ou derrière des reverse-proxies, principalement en Asie et en Europe. Les conditions d'exploitation sont triviales : aucune authentification préalable, aucune interaction utilisateur, et l'attaque peut être scriptée. Une fois la prise de contrôle effective, l'attaquant peut pivoter vers le serveur Nginx hôte via la fonction terminal, modifier les vhosts pour injecter du code malveillant dans les sites servis, ou exfiltrer les certificats SSL stockés.

Recommandations

• Mettre à jour nginx-ui vers la version 2.1.6 sans délai, en priorisant les instances exposées publiquement.
• Restreindre l'accès au panneau de gestion via VPN, bastion SSH ou liste blanche d'IP au niveau du firewall.
• Examiner les logs nginx-ui et les fichiers de configuration pour détecter des modifications non autorisées : nouveaux upstreams, scripts injectés, nouveaux comptes administrateurs.
• Faire tourner les certificats TLS et les secrets stockés dans le panneau si une compromission est suspectée.

Décomposition du score CVSSv3.1 (9.8)

Le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H explique la sévérité maximale attribuée à CVE-2026-33032 : vecteur d'attaque réseau (AV:N), complexité faible (AC:L) sans chaînage d'exploit nécessaire, aucun privilège requis (PR:N) et aucune interaction utilisateur (UI:N). L'impact est classé élevé sur les trois axes confidentialité, intégrité et disponibilité, puisque la prise de contrôle du panneau nginx-ui donne accès direct à la configuration du reverse-proxy, aux certificats TLS et à l'exécution de commandes shell côté hôte. La faille technique provient d'une validation de session incomplète sur l'endpoint /api/user/info : un jeton JWT vide ou malformé est accepté comme valide par le middleware d'authentification lorsque l'en-tête Authorization est présent mais structurellement invalide, ce qui permet de forger une session administrateur sans connaître le mot de passe.

Comment savoir si mon instance nginx-ui a été ciblée par CVE-2026-33032 ?

Les journaux d'accès de nginx-ui (généralement dans /var/log/nginx-ui/access.log ou via journalctl -u nginx-ui) doivent être inspectés à la recherche de requêtes vers /api/user/info ou /api/user/login comportant un en-tête Authorization tronqué ou ne correspondant à aucun format JWT standard. Un indicateur de compromission fiable est la présence d'appels ultérieurs vers les endpoints de gestion de configuration (/api/domains, /api/config) ou vers la fonctionnalité terminal (/api/pty) immédiatement après une requête d'authentification suspecte, sans étape de connexion légitime préalable. Les administrateurs doivent également vérifier l'historique des modifications de fichiers vhost via git diff si le versioning de configuration est activé, ou comparer les horodatages de modification des fichiers dans /etc/nginx/sites-available/ avec les fenêtres de maintenance planifiées.

Le simple fait de mettre nginx-ui derrière un basic auth Nginx protège-t-il de la faille ?

Non, cette mesure offre une protection partielle et insuffisante. Un basic auth ajouté en frontal filtre l'accès à l'interface web dans son ensemble, mais si l'attaquant obtient ou devine ces identifiants — souvent réutilisés ou faibles sur des déploiements internes — le contournement d'authentification de nginx-ui reste pleinement exploitable derrière cette couche. Pire, plusieurs déploiements observés exposent l'API nginx-ui sur un port distinct du port web principal (souvent 9000), non couvert par la règle de basic auth configurée uniquement sur le vhost visible. La seule mitigation fiable reste la mise à jour vers la version 2.1.6, complétée par une restriction d'accès réseau au niveau du pare-feu (allowlist IP) plutôt qu'une simple couche applicative.

Votre infrastructure est-elle exposée ?

Un audit rapide consiste à lister tous les hôtes internes exécutant le processus nginx-ui et à vérifier leur version via l'endpoint /api/version ou la commande nginx-ui -v. Les entreprises utilisant des outils de gestion d'actifs (CMDB, Nmap avec détection de bannière, ou scanners de vulnérabilités comme Nessus/OpenVAS déjà mis à jour avec la signature CVE-2026-33032) peuvent automatiser cette détection à l'échelle du parc. Pour les environnements cloud, une revue des groupes de sécurité AWS/Azure/GCP autorisant le trafic entrant sur les ports 9000 ou 80/443 vers des instances de gestion est recommandée en priorité.

Sources et références (2)

• The Hacker News — couverture initiale de l'exploitation active, 24 avril 2026.
• National Vulnerability Database (NVD) — fiche CVE-2026-33032 et détail du vecteur CVSSv3.1.
• Dépôt officiel nginx-ui — notes de version 2.1.6 et correctif du middleware d'authentification.