CVE-2026-33026：nginx-ui <2.3.4 备份篡改漏洞

CVE-2026-33026 影响 Nginx-UI 的备份和恢复功能，该功能是 github.com/0xJacky/Nginx-UI 项目的一部分。该漏洞允许攻击者篡改加密的备份文件。攻击者可以通过控制备份恢复过程，修改备份数据，从而可能导致敏感信息泄露或系统配置被恶意修改。例如，攻击者可以修改备份中的 Nginx 配置文件，将流量重定向到恶意服务器，或者插入恶意代码到网站内容中。由于备份通常包含数据库连接信息、API 密钥和其他敏感凭证，因此攻击者成功篡改备份后，可能获得对后端系统的完全控制权。该漏洞的潜在影响范围非常广，包括网站内容篡改、数据泄露、服务中断，甚至可能导致整个基础设施被攻陷。攻击者无需身份验证即可利用此漏洞，使得攻击的隐蔽性和成功率都非常高。因此，该漏洞被评定为严重级别 (CVSS 9.5)。

Organizations using Nginx-UI for managing their Nginx configurations are at risk, particularly those relying on the backup and restore functionality for disaster recovery. Shared hosting environments where multiple users share the same Nginx-UI instance are especially vulnerable, as an attacker could potentially compromise backups belonging to other users.

• go / server:

find /opt/nginx-ui/ -name '*.bak' -type f -print0 | xargs -0 sha256sum

• go / server:

journalctl -u nginx-ui -f | grep "backup_restore"

• generic web: Check the Nginx-UI configuration for any unusual or unexpected settings related to backup locations or encryption keys.

1. 2026-04-02Disclosure

   disclosure

1. 已保留2026-03-17
2. 发布日期2026-04-02
3. EPSS 更新日期2026-04-07

解决 CVE-2026-33026 的最佳方法是升级到 Nginx-UI 的 2.3.4 或更高版本。该版本已经修复了该漏洞。如果无法立即升级，可以考虑以下缓解措施：禁用 Nginx-UI 的备份和恢复功能，或者限制对备份文件的访问权限，仅允许授权用户进行操作。在升级之前，务必备份当前的 Nginx-UI 配置和数据，以防止意外情况发生。升级过程中，建议先在测试环境中进行验证，确认升级后的 Nginx-UI 能够正常工作，并且没有引入新的问题。升级完成后，需要验证备份和恢复功能是否能够正常工作，并且备份数据没有被篡改。建议定期检查 Nginx-UI 的配置和数据，确保其安全性和完整性。