Die Schwachstelle MCPwn, wie sie von Sicherheitsforschern benannt wurde, liegt in der Model Context Protocol (MCP)-Integration von nginx-ui verborgen. Das System exponiert zwei HTTP-Endpoints: /mcp und /mcp_message. Während /mcp durch IP-Whitelisting und Authentifizierung geschützt ist, verzichtet /mcp_message auf Authentifizierungschecks. Problematisch: Die Standard-IP-Whitelist ist leer – das System interpretiert dies als “alle IPs erlauben”.
Damit können Angreifer aus dem Internet direkt auf den ungeschützten Endpoint zugreifen und MCP-Tools aufrufen, ohne sich authentifizieren zu müssen. Das ermöglicht ihnen, Nginx neu zu starten, Konfigurationsdateien zu erstellen, zu modifizieren oder zu löschen und automatische Config-Reloads auszulösen. Yotam Perkal, der Forscher von Pluto Security, der die Lücke entdeckte, demonstrierte, dass dies in Sekundenschnelle funktioniert.
Besonders gefährlich ist das Szenario, bei dem Angreifer ihren eigenen Webserver in Nginx-Konfigurationen injizieren und sämtlichen Traffic umleiten können – perfekt für Man-in-the-Middle-Attacken und Credential-Harvesting von Administratoren.
Die Entwickler von nginx-ui reagierten relativ schnell: Version 2.3.4, veröffentlicht am 15. März 2026, behebt die Lücke. Als Workaround empfehlen die Maintainer, das Middleware.AuthRequired()-Protokoll auf den /mcp_message-Endpoint anzuwenden oder die IP-Whitelist-Logik von “allow-all” auf “deny-all” umzuschalten.
Das Forschungsteam von Recorded Future identifizierte CVE-2026-33032 als eine von 31 Schwachstellen, die im März 2026 aktiv von Angreifern ausgenutzt wurden. Für Betreiber ist die Situation prekär: Mit etwa 2.600 öffentlich erreichbaren nginx-ui-Instanzen ist das Ausmaß erheblich.
Perkal warnt vor einem grundsätzlichen Problem bei MCP-Integrationen: “Wenn man MCP an eine bestehende Anwendung ankoppelt, erben die MCP-Endpoints alle Fähigkeiten der Anwendung, aber nicht notwendigerweise ihre Sicherheitskontrollen. Das Ergebnis ist eine Hintertür, die jeden sorgfältig implementierten Authentifizierungsmechanismus umgeht.”
Pluto Security empfiehlt dringend: Sofort auf Version 2.3.4 upgraden oder MCP-Funktionalität deaktivieren und den Netzwerkzugriff beschränken. Für deutsche Unternehmen mit kritischen Systemen ist dies ein Security-Notfall.