Wer seinen Reverse-Proxy per Browser-Oberfläche statt Config-Datei verwaltet, kennt Nginx UI — ein beliebtes Self-Hosting-Werkzeug, das in vielen Homelabs neben Docker und Portainer läuft. Seit dieser Woche ist für eine kritische Lücke im Tool fertiger Exploit-Code öffentlich verfügbar. Zeit, die eigene Version zu prüfen.
WAS GENAU KAPUTT IST
Die Lücke CVE-2026-107806 erreicht eine CVSS-Wertung von 9,4 (CVSS 4.0) und betrifft Nginx UI in den Versionen 2.3.8 bis unter 2.5.0. Der Fehler sitzt in der Backup-Wiederherstellungs-Funktion: Der Endpunkt „POST /api/restore“ nimmt vom Nutzer mitgelieferte Backup-Schlüssel und -Inhalte entgegen und vertraut ihnen ungeprüft. Damit lässt sich die zentrale Konfigurationsdatei „app.ini“ überschreiben — inklusive sicherheitsrelevanter Befehlspfade wie dem Nginx-Testbefehl. Wird anschließend der Endpunkt „/api/nginx/test“ aufgerufen, führt das System den manipulierten Befehl aus. Ergebnis: Codeausführung auf dem Server.
WICHTIGE EINSCHRÄNKUNG: ADMIN-ZUGANG NÖTIG
Anders als bei vielen anderen Höchstwertungslücken ist hier eine bereits bestehende, authentifizierte Admin-Session die Voraussetzung. Ein völlig fremder Angreifer ohne jeden Zugang kann die Lücke nicht direkt ausnutzen. Relevant wird das trotzdem schnell: Wer sein Nginx-UI-Dashboard unvorsichtig ins Internet gestellt hat, wessen Admin-Zugangsdaten geleakt wurden, oder wo eine andere Lücke zuerst einen niedrig privilegierten Zugang verschafft — für den ist diese Lücke der nächste Schritt zur vollen Serverübernahme. Die hohe CVSS-Wertung spiegelt genau dieses „Sprungbrett“-Risiko wider, nicht einen offenen Zugang für jedermann.
WARUM GERADE JETZT RELEVANT
Die zugrundeliegende Lücke selbst ist Sicherheitsforschern schon länger bekannt — neu und nachrichtenrelevant ist, dass am 9. Oktober 2026 ein vollständig funktionierender Exploit-Code veröffentlicht wurde. Das verändert die Lage: Bisher brauchte ein Angreifer eigenes Fachwissen, um aus der Beschreibung einen funktionierenden Angriff zu bauen. Jetzt reicht es, den veröffentlichten Code zu kopieren. Genau dieser Schritt — von der theoretischen Lücke zum copy-paste-fertigen Angriff — ist der Grund, warum Sicherheitsseiten wie securityonline.info und strix.ai diese Woche erneut darüber berichten.
SO SCHÜTZT DU DEIN SETUP
- Update auf Nginx UI 2.5.0 oder neuer — damit ist die Lücke geschlossen.
- Admin-Zugang absichern: starkes, einzigartiges Passwort, wenn möglich Zwei-Faktor-Absicherung vorschalten (z. B. über einen Reverse-Proxy mit Auth-Layer).
- Dashboard nicht unnötig ins offene Internet stellen — Zugriff nach Möglichkeit auf VPN oder lokales Netz beschränken.
- Backup-Restore-Aufrufe im Log beobachten, besonders unerwartete Zugriffe auf „/api/restore“ von unbekannten IPs.
FAZIT: PATCHEN LOHNT SICH, PANIK NICHT
Die Voraussetzung eines bestehenden Admin-Zugangs nimmt der Lücke die ganz große Dringlichkeit einer offenen Tür für jeden. Trotzdem gilt: Jede Lücke, für die öffentlicher Exploit-Code kursiert, sollte zügig geschlossen werden — gerade weil sie als Sprungbrett nach einem anderen, kleineren Einbruch dient. Ein Update auf 2.5.0 kostet ein paar Minuten.