Nginx の管理UIとして広く利用されている「Nginx UI」に、認証なしでサーバーを完全乗っ取りできる致命的な脆弱性（CVE-2026-33032）が発見され、すでに実際の攻撃に使われていることが確認された。430,000件以上のDockerプル実績を持つ人気ツールだけに、影響範囲は決して小さくない。
何が起きているか——MCPエンドポイントが丸裸に
Nginx UIはバージョン2系からAIワークフロー連携を想定してModel Context Protocol（MCP）をサポートしているが、その実装に根本的な設計ミスが含まれていた。/mcp_message エンドポイントに対してまったく認証が掛かっておらず、ネットワークさえ到達できれば誰でも特権的なMCPアクションを呼び出せる状態になっていた。
具体的な攻撃手順はシンプルで恐ろしい。
- 対象のNginx UIインスタンスにSSE（Server-Sent Events）接続を確立する
- MCPセッションを開き、返却される
sessionIDを取得する - その
sessionIDを使って/mcp_messageに任意のリクエストを送る
これだけで、認証ヘッダー一切なしに12種類のMCPツール（うち7種は破壊的操作）が使い放題になる。Nginx設定ファイルの読み取り・改ざん・削除、悪意ある server ブロックの注入、設定リロードのトリガーまで、サーバー管理として想定されるあらゆる操作が外部から可能だ。
タイムラインと現在の状況
日付 出来事
2026年3月14日 Pluto Security AIが発見・報告
2026年3月15日 バージョン2.3.4で修正リリース
2026年3月末 CVE番号・技術詳細・PoCが公開
2026年4月第1週 バージョン2.3.6リリース（現在の最新安定版）
2026年4月15日 Recorded Futureが野外での積極的悪用を確認
Shodanによるスキャンでは現在も約2,600インスタンスが公開状態でインターネットに露出している。地域別では中国・米国・インドネシア・ドイツ・香港が多いが、国内のサーバーも無関係ではない。
なぜこれが重要か——AIプロトコルと特権操作の組み合わせ
この脆弱性が単なる「Webアプリの認証バイパス」と根本的に異なる点は、MCPという「AI統合用プロトコル」が特権管理操作と直結していたことだ。
MCPはもともとAIエージェントがツールを呼び出すための通信規格として設計されている。便利だからこそ多機能で、だからこそ今回のように「便利なツール群」が認証なしで露出した場合のダメージが甚大になる。AIと連携できるサーバー管理ツールは今後も増えていくが、その認証・認可設計が追いついていないケースが続出する予感がある。
実務への影響——日本のエンジニア・IT管理者が今すぐやること
即時対応
nginx-ui --versionでバージョンを確認する- 2.3.6未満であれば即座にアップデートする（
docker pull uozi/nginx-ui:latestまたは公式リリースページから） - アップデートが即時困難な場合は、
/mcp_messageエンドポイントをファイアウォール・リバースプロキシのACLで一時的にブロックする
中期的な対策
- Nginx UIをインターネットに直接公開しているなら、まずそれを止める。管理系UIはVPN・踏み台・Private Endpoint越しにアクセスする構成が正しい
- Docker Composeで動かしている場合、ポートバインディングを
127.0.0.1:80のようにループバックに限定しているか確認する - 設定変更のログを定期的にレビューするか、変更検知の仕組みを入れる
将来を見据えた設計
- MCPや類似のAI統合プロトコルを導入する際は「エンドポイントごとの認証スコープ」を設計段階で明確にする。後付けは難しい
- 特権操作を行うAPIは必ずゼロトラスト原則で設計する。「内部ネットワークだから安全」という前提は捨てること
## 筆者の見解
今回の件で改めて感じるのは、「今動いているから大丈夫」という感覚がいかに危険かということだ。2,600インスタンスが公開されているということは、管理者の多くはそもそも自分のサーバーが外から見えていることすら把握していない可能性がある。
MCPという新しいレイヤーが特権操作に直結した今回の構造は、今後AIエージェント統合が進むにつれて似たようなパターンが各所に出てくる予兆だと思う。AIが「道具を使う」ために設計されたプロトコルは、そのまま「攻撃者が道具を使う」ための経路にもなりうる。設計段階でNon-Human Identity（NHI）として扱い、最小権限・Just-In-Timeアクセス・操作ログの3点をセットで考える習慣を今のうちに身につけておきたい。
ネットワーク境界を信頼することをやめ、「認証なしでアクセスできるエンドポイントはひとつもない」という前提でシステムを設計する。それが2026年現在のあるべきセキュリティの姿だ。今回のPoCが公開されて攻撃者側の参入障壁は限りなくゼロに近い。対応は今日中に。
出典: この記事は Critical Nginx UI auth bypass flaw now actively exploited in the wild の内容をもとに、筆者の見解を加えて独自に執筆したものです。