Falha crítica no Nginx UI (CVE-2026-27944) expõe backups de servidor

A falha CVE-2026-27944 não é só uma brecha de autenticação: é um colapso duplo de segurança. O endpoint /api/backup responde sem exigir login, mas pior, devolve a chave AES-256 e o IV no cabeçalho X-Backup-Security, como se fosse um carimbo de aprovação. Isso anula toda a criptografia do backup antes mesmo de o atacante tentar descriptografar. A versão corrigida, 2.3.3, remove esse vazamento e impõe autenticação obrigatória nesse endpoint, mudança simples em código, mas crítica em impacto.

O EPSS de 0.05% parece baixo, mas engana: a vulnerabilidade exige zero interação do usuário e opera por rede, com CVSS 9.8. Em ambientes onde o Nginx UI está exposto à internet, mesmo que por acidente, como em testes ou homologações, a exploração é quase automática. Já há relatos de varreduras ativas buscando o endpoint /api/backup em escaneamentos de superfície digital desde 7 de março, segundo dados do IONIX.

Empresas que usam Nginx UI para gerenciar servidores web estão sob risco imediato de comprometimento completo: não só da interface de administração, mas de toda a infraestrutura mapeada por ela. Um único backup vazio pode entregar chaves SSL, senhas de banco de dados e tokens de sessão válidos por horas, o suficiente para pivotar para outros sistemas. Diferente de falhas que exigem cadeia de erros, aqui basta um GET não autenticado. A mitigação não é só atualizar: é isolar a interface de gerenciamento, revogar credenciais antigas e auditar logs atrás de acessos ao endpoint desde janeiro, pois ataques podem ter começado antes da divulgação oficial.