Nginx UI に認証不要のバックアップ流出脆弱性 CVSS9.8、暗号鍵ごと丸見えに

「バックアップ」が攻撃者への鍵の受け渡しになる #

セルフホスト向けのNginx管理パネル「Nginx UI」に、CVSS 9.8の最高深刻度となる脆弱性(CVE-2026-27944)が見つかった。対象はバージョン2.3.3未満。問題は、リモートからバックアップを取得するWeb APIに認証が一切要求されないという単純なものだ。

このバックアップファイルには、特権APIを呼び出すための暗号鍵やデータベースそのものが含まれる。つまり攻撃者は、ログイン画面を突破する手間をかけずに、バックアップを1回ダウンロードするだけで管理画面の「合鍵」一式――設定ファイル、暗号鍵、セッショントークン、ユーザー認証情報――をまとめて手に入れられる。

認証バイパスより厄介な「設計の穴」 #

パスワード漏洩や脆弱な認証ロジックを突く攻撃と違い、今回は認証機構そのものが「保護対象外」に置かれていた設計ミスだ。バックアップ機能は復旧のための裏口であることが多く、開発時に通常の認可チェックの対象から漏れやすい。攻撃者からすれば、正面玄関の鍵を壊さずとも、勝手口が最初から開いていたようなものだ。

同時期にはApache Tomcatでも、URLデコード処理の不備でRewriteValveのアクセス制御を回避できる脆弱性(CVE-2026-59083)が公表されている。管理コンソールやリバースプロキシなど「サーバの手前に立つ」ソフトウェアが相次いで穴を開けている構図は、単発の偶発ではなく、周辺機能への検査が手薄になりがちという共通の弱点を映している。

対策 #

Nginx UIは2.3.3以降へ即時アップデートを。加えて、管理パネル系ツールは以下を定期チェックしたい。

• バックアップ/エクスポート系APIにも認証が効いているか
• 管理画面をインターネットに直接公開していないか(VPN/IP制限の併用)
• バックアップファイル自体の保存先アクセス権

「本体は堅牢でも周辺機能が甘い」という典型例として、自社の管理系ツールも棚卸しする価値がある。