Uma vulnerabilidade crítica no Nginx UI com suporte para o Model Context Protocol (MCP) está a ser ativamente explorada para a apropriação total de servidores sem qualquer necessidade de autenticação. De acordo com o relatório da Recorded Future, a falha já se encontra sob exploração contínua, permitindo que piratas informáticos assumam as rédeas dos sistemas expostos na web.
O perigo escondido na gestão do serviço
O problema, identificado de forma oficial como CVE-2026-33032, reside no facto de o Nginx UI deixar o endereço '/mcp_message' totalmente desprotegido. Esta lacuna de segurança permite que qualquer indivíduo execute ações privilegiadas remotamente, sem precisar de apresentar credenciais válidas. Como estas ações envolvem a escrita e o recarregamento automático de ficheiros de configuração, um único pedido não autenticado é suficiente para ditar um novo comportamento e assumir o controlo da máquina.
Conforme detalhado no boletim da National Vulnerability Database (NVD), um atacante com acesso à rede consegue invocar todas as doze ferramentas do protocolo MCP. Isto inclui a capacidade de reiniciar o serviço, criar, modificar ou eliminar ficheiros essenciais do nginx, resultando numa apropriação completa do sistema e da infraestrutura subjacente.
Como a investida global se desenrola
A plataforma de gestão é extremamente popular no segmento tecnológico, contabilizando mais de 11 mil estrelas no GitHub e ultrapassando as 430 mil transferências no Docker. No entanto, esta adoção massiva reflete-se na escala do risco: os dados do motor de pesquisa Shodan revelam a existência de cerca de 2600 instâncias publicamente expostas, localizadas maioritariamente na China, Estados Unidos, Indonésia, Alemanha e Hong Kong.
Segundo a investigação partilhada por Yotam Perkal, da Pluto Security, a execução do ataque requer apenas o estabelecimento de uma ligação SSE para abrir uma sessão MCP. A identificação devolvida nessa etapa é então usada para enviar pedidos destrutivos, escancarando as portas para a extração de dados vitais ou a injeção de blocos maliciosos diretamente no servidor.
A mitigação do problema começou a ser implementada a 15 de março através da versão 2.3.4, apenas um dia após a descoberta original. Contudo, os detalhes técnicos e a prova de conceito (PoC) emergiram publicamente no final do mês, acelerando as investidas maliciosas. Para garantir a máxima proteção, os administradores devem aplicar as atualizações de imediato, transitando para a versão 2.3.6, lançada de forma segura na semana passada.
Nenhum comentário
Seja o primeiro!