Escáner de Descubrimiento de Nginx UI - Detector de Versión CVE-2026-27944

https://img.shields.io/badge/python-3.6+-blue.svg

https://img.shields.io/badge/license-MIT-green

https://img.shields.io/badge/threading-multi--threaded-brightgreen

Autor: NULL200OK

Un escáner de alto rendimiento y multi-hilo para descubrir interfaces web de Nginx UI, detectar su versión e identificar instancias vulnerables a CVE‑2026‑27944 (versiones ≤ 2.3.2).

La herramienta utiliza huellas digitales pasivas (títulos, cabeceras, patrones en el cuerpo) y sondea endpoints API comunes para identificar con precisión instalaciones de Nginx UI en grandes redes.

🔍 Características

Entrada de objetivos flexible – escanea un solo host, un rango CIDR (p. ej., 192.168.1.0/24) o una lista desde un archivo.

Escaneo multi-puerto – comprueba puertos comunes de Nginx UI (80, 443, 8080, 8443, 9000, 9001, 9080, 9443) o listas personalizadas.

Huella digital – identifica Nginx UI mediante:

Título de página (Nginx UI)

Cabeceras HTTP (Server, X-Powered-By)

Patrones regex en el cuerpo (cadenas de versión, identificadores de interfaz)

Extracción de versión – desde /api/version JSON, HTML/JS incrustado o cabeceras de respuesta.

Comprobación directa de vulnerabilidad – detecta la presencia del endpoint /api/backup con la cabecera X-Backup-Security (una señal clara de CVE‑2026‑27944).

Puntuación de confianza – reduce falsos positivos combinando múltiples señales de detección.

Modo solo vulnerables – muestra únicamente instancias confirmadas como vulnerables.

Salida a JSON/CSV – guarda resultados para análisis posterior.

Multi-hilo rápido – escanea cientos de hosts en segundos.

🚨 Por Qué Es Importante

CVE‑2026‑27944 es una vulnerabilidad crítica en Nginx UI ≤ 2.3.2 que permite a cualquier atacante no autenticado descargar y descifrar la copia de seguridad completa del servidor, exponiendo:

Credenciales de usuario y tokens de sesión

Claves privadas SSL

Secretos de la aplicación

Configuración completa de Nginx

Este escáner te ayuda a localizar rápidamente instancias vulnerables en tu entorno antes de que lo hagan los atacantes.

⚙️ Instalación

bash

git clone https://github.com/NULL200OK/nginx-ui-scanner.git

cd nginx-ui-scanner

pip install requests

No se requieren dependencias adicionales (el escáner no necesita pycryptodome).

🔧 Uso

text

usage: nginxui_discover.py [-h] (--target TARGET | --cidr CIDR | --file FILE) [--port PORT] [--ports PORTS] [--ssl] [--threads THREADS] [--timeout TIMEOUT] [--output OUTPUT] [--vulnerable-only] [--no-banner]

Ejemplos

bash

Escanear un solo host (puertos predeterminados)

python3 nginxui_discover.py --target 192.168.1.100

Escanear un rango CIDR con 50 hilos, guardar resultados JSON

python3 nginxui_discover.py --cidr 192.168.1.0/24 --threads 50 --output results.json

Escanear desde un archivo, mostrar solo instancias vulnerables

python3 nginxui_discover.py --file targets.txt --vulnerable-only

Escanear un puerto específico con HTTPS forzado

python3 nginxui_discover.py --target example.com --port 8443 --ssl

Salida

text

Nginx UI Discovery Scanner - CVE-2026-27944 Version Detection

Threads: 20 | Timeout: 5s | Date: 2026-03-10 14:23:45

[*] Iniciando escaneo de 256 objetivos × 8 puertos = 2048 comprobaciones

[42/2048] 🔴 VULNERABLE | http://192.168.1.105:9000 | v2.3.2 | confianza: 85%

[87/2048] 🟢 PARCHADO | https://192.168.1.110:8443 | v2.4.0 | confianza: 72%

...

RESUMEN DEL ESCANEO

Instancias de Nginx UI encontradas: 12

• Vulnerables (≤2.3.2): 3
• Parcheadas/Desconocidas: 9

📚 Cómo Funciona

Construir trabajos de escaneo – expande objetivos y puertos en una lista de pares (host, puerto).

Sondeo multi-hilo – para cada combinación, envía solicitudes HTTP a rutas comunes:

/ – página raíz

/api/version – API de versión

/api/backup – endpoint vulnerable

/login, /dashboard, /static/js/main.js – huellas digitales adicionales

Análisis de huella digital – examina las respuestas en busca de indicadores de Nginx UI y asigna una puntuación de confianza.

Extracción de versión – utiliza análisis JSON, inspección de cabeceras y regex en el cuerpo de la página.

Comprobación de vulnerabilidad – marca como vulnerable si la versión es ≤ 2.3.2 o si el endpoint /api/backup devuelve la cabecera X-Backup-Security.

Informes en tiempo real – muestra los resultados a medida que llegan; guarda en archivo si se solicita.

⚠️ Aviso Legal

Esta herramienta está destinada únicamente a evaluaciones de seguridad autorizadas y fines educativos.

El escaneo no autorizado de redes que no posees o para las que no tienes permiso explícito de prueba es ilegal. El autor (NULL200OK) no asume ninguna responsabilidad por el mal uso.

📄 Licencia

Licencia MIT – consulta LICENSE para más detalles.

📬 Referencias

CVE‑2026‑27944 (marcador de posición)

Sitio Oficial de Nginx UI