NGINX-UI: Mehrere Schwachstellen
WID-SEC-2026-2798 · primera publicación 12.08.2026 · actualizado 12.10.2026 · CVSS 9,6
De qué se trata
nginx-ui ist eine Open-Source-Weboberfläche zur Verwaltung und Konfiguration von Nginx-Webservern. Ein Angreifer kann mehrere Schwachstellen in NGINX-UI ausnutzen, um erweiterte Berechtigungen zu erlangen, beliebigen Code – auch mit Root-Rechten – auszuführen, Sicherheitsmaßnahmen zu umgehen, sensible Daten offenzulegen oder einen Denial-of-Service-Zustand auszulösen.
¿En qué condiciones?
El BSI no indica requisitos especiales. Explotable a distancia según el BSI.
Lo que puede pasar en el peor de los casos
Un atacante podría aprovechar la vulnerabilidad para
- erweiterte Berechtigungen zu erlangen
- beliebigen Code – auch mit Root-Rechten – auszuführen
- Sicherheitsmaßnahmen zu umgehen
- sensible Daten offenzulegen oder einen Denial-of-Service-Zustand auszulösen
¿Me afecta?
Afectados según el BSI:
- Open Source nginx-ui <2.5.0
La versión instalada suele aparecer en «Ayuda → Acerca de» o en la interfaz de administración del dispositivo.
¿Qué ayuda?
Actualizar como mínimo a:
- Open Source nginx-ui 2.5.0
¿Se está explotando ya la vulnerabilidad?
Ninguna de las CVE figura en el catálogo de la CISA de vulnerabilidades explotadas. No significa que no haya ataques, solo que no hay ninguno documentado.
Información y fuentes
- Aviso original del BSI (WID)
- GitHub Security Advisory GHSA-33rr-wq23-g6gg vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-45gv-9wjv-xh7p vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-662p-52hx-cmh2 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-746f-pjq6-cc8p vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-7mm5-v557-38qq vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-h246-wpgf-vmq5 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-m9w2-f5px-x36p vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-p393-cf76-4jmr vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-p8v3-89rh-jxc7 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-pvgv-gcp7-v38g vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-qfwj-23j7-6939 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-qq4p-5m6w-ww57 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-r7jh-46x8-grj8 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-32gc-wf3m-78w9 vom 2026-08-11 github.com
- GitHub Security Advisory GHSA-49r7-63h8-8p86 vom 2026-08-11 github.com
CVE: CVE-2026-107806, CVE-2026-107807, CVE-2026-107808, CVE-2026-107809, CVE-2026-107810, CVE-2026-107811, CVE-2026-107812, CVE-2026-107813
Fuente: BSI, servicio de alertas e información (CERT-Bund); CISA. La valoración de las condiciones es mi lectura del texto del BSI; las páginas externas están en su idioma original.