https://cyberveille.ch/tags/cve-2026-33032/ Recent content in CVE-2026-33032 on CyberVeille Hugo -- 0.146.0 fr-fr Cyberveille CC BY-NC-SA 4.0 Thu, 16 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-16-cve-2026-33032-authentification-manquante-dans-nginx-ui-exploitee-in-the-wild/ Thu, 16 Apr 2026 00:00:00 +0000 https://cyberveille.ch/posts/2026-04-16-cve-2026-33032-authentification-manquante-dans-nginx-ui-exploitee-in-the-wild/ <h2 id="-contexte">🔍 Contexte</h2> <p>Rapid7 a publié le 16 avril 2026 une alerte de sécurité concernant <strong>CVE-2026-33032</strong>, une vulnérabilité critique affectant <strong>Nginx UI</strong>, une interface web open-source de gestion centralisée des configurations Nginx et des certificats SSL.</p> <h2 id="-description-de-la-vulnérabilité">🐛 Description de la vulnérabilité</h2> <ul> <li><strong>Type</strong> : Authentification manquante (Missing Authentication)</li> <li><strong>Score CVSS</strong> : 9.8 (critique)</li> <li><strong>Composant exposé</strong> : Serveur <strong>Model Context Protocol (MCP)</strong> intégré à Nginx UI</li> <li><strong>Condition d&rsquo;exploitation</strong> : La configuration par défaut de la liste blanche IP autorise tout accès distant au serveur MCP</li> <li><strong>Impact</strong> : Un attaquant non authentifié peut exécuter des opérations privilégiées sur les serveurs Nginx gérés, aboutissant à un <strong>contrôle total du service Nginx</strong></li> </ul> <h2 id="-chronologie">📅 Chronologie</h2> <ul> <li><strong>Début mars 2026</strong> : Découverte par <strong>Yotam Perkal</strong> (chercheur chez <strong>Pluto Security</strong>)</li> <li><strong>15 mars 2026</strong> : Patch publié + blog technique de Pluto Security</li> <li><strong>30 mars 2026</strong> : Advisory de sécurité officiel publié</li> <li><strong>13 avril 2026</strong> : <strong>Recorded Future</strong> signale une exploitation active in the wild</li> <li><strong>16 avril 2026</strong> : Publication de l&rsquo;alerte Rapid7</li> </ul> <h2 id="-versions-affectées">🎯 Versions affectées</h2> <ul> <li>Selon le chercheur : versions <strong>2.3.3 et antérieures</strong> (correctif en 2.3.4)</li> <li>Selon l&rsquo;enregistrement CVE officiel : versions <strong>2.3.5 et antérieures</strong></li> <li>Version recommandée pour remédiation : <strong>2.3.6</strong> (dernière version disponible)</li> </ul> <h2 id="-type-darticle">📌 Type d&rsquo;article</h2> <p>Alerte de sécurité publiée par Rapid7, visant à informer les utilisateurs de Nginx UI de l&rsquo;existence d&rsquo;une exploitation active et à orienter vers la mise à jour corrective.</p>