Echipamentele Ubiquiti UniFi sunt alese des pentru birouri, școli sau clădiri administrative pentru că adună într-o singură consolă rețeaua, Wi-Fi-ul, camerele video și uneori chiar controlul accesului. Tocmai această centralizare face ca vulnerabilitățile anunțate în mai 2026 să fie atât de serioase: trei defecte cu scorul maxim, 10 din 10, care împreună pot oferi unui atacator control total asupra consolei.
Ce s-a întâmplat
Pe 21 mai 2026, Ubiquiti a publicat buletinul de securitate 064, cu corecturi pentru mai multe probleme din UniFi OS. Trei dintre ele au primit scorul CVSS 10,0:
- CVE-2026-34908 – control al accesului defectuos, care permite modificări neautorizate ale sistemului;
- CVE-2026-34909 – path traversal, prin care pot fi citite fișiere din sistemul de operare al echipamentului;
- CVE-2026-34910 – injectare de comenzi, adică rularea de comenzi arbitrare pe dispozitiv.
La început de iunie, cercetătorii de la Bishop Fox au arătat că primele două pot fi folosite pentru a ocoli autentificarea și a ajunge la o funcție internă de actualizare, unde a treia permite injectarea de comenzi. Contul de serviciu implicat avea drepturi sudo, așa că trecerea la root era banală. Pe scurt: fără parolă, fără interacțiunea cuiva, cu acces root la final. Pe 23 iunie 2026, agenția americană CISA a adăugat toate cele trei vulnerabilități în catalogul KEV, lista vulnerabilităților exploatate efectiv.
Ce echipamente sunt vizate
Lista din buletin este lungă și cuprinde, printre altele, consolele UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, UDR, UCG-Ultra, UCG-Max și UCG-Fiber, controllerele Cloud Key (UCK, UCKP, UCK-Enterprise), dar și înregistratoarele video UNVR, UNVR-Pro, UNVR-Instant și UNVR-G2, folosite pentru UniFi Protect. Este inclus și UniFi OS Server (versiunea 5.0.6 și anterioare), varianta instalată pe un server propriu. Pentru fiecare familie, buletinul indică versiunea de UniFi OS de la care problema este rezolvată.
Pentru o organizație, consecința este clară. Cum spun și cercetătorii, consola UniFi nu este „încă un server Linux”, ci planul de administrare al întregii rețele: switch-uri, puncte de acces, camere, uși. Cine o controlează poate vedea înregistrările, poate modifica rețeaua sau poate deschide drumul spre alte sisteme.
Recomandări
- Actualizați imediat UniFi OS pe toate consolele și NVR-urile, la versiunea indicată în buletinul 064 sau una mai nouă. Pentru UniFi OS Server, minimum 5.0.8.
- Nu lăsați interfața de administrare accesibilă din internet. Folosiți accesul de la distanță oficial sau un VPN și restricționați administrarea la o rețea de management.
- Verificați dacă nu ați fost deja compromis. Actualizarea închide ușa, dar nu scoate un atacator care a intrat deja. Bishop Fox a publicat un script care arată doar dacă instanța este vulnerabilă; pentru semne de atac, urmăriți în jurnale cererile neobișnuite către funcțiile de autentificare SSO și de actualizare a pachetelor, procese necunoscute și comenzi sudo neașteptate.
- Schimbați parolele administratorilor și ale conturilor de serviciu după actualizare, mai ales dacă interfața a fost expusă.
- Separați traficul: camere, Wi-Fi pentru oaspeți și rețeaua administrativă în VLAN-uri diferite, cu reguli clare între ele.
- Activați actualizările automate acolo unde sunt disponibile și verificați lunar dacă au rulat.
Concluzie
Comoditatea unei console unice vine cu o responsabilitate pe măsură: dacă ea cade, cade totul. Southwest Digital lucrează cu echipamente Ubiquiti în rețele de birou și instituții și vă poate ajuta cu verificarea versiunilor, actualizarea și revizuirea accesului de la distanță.