Krytyczna luka w UniFi OS pozwala na przejęcie kontroli nad siecią. Administratorzy muszą działać

Pod koniec maja 2026 roku producent Ubiquiti załatał trzy poważne luki w systemie UniFi OS, które – połączone w jeden łańcuch ataku – pozwalają osobie postronnej na zdalne wykonanie kodu z najwyższymi uprawnieniami. Jak wynika z analizy badaczy z Bishop Fox, opublikowanej na łamach BleepingComputer, atak nie wymaga żadnych danych uwierzytelniających ani interakcji ze strony użytkownika. Dla administratorów zarządzających sieciami opartymi na sprzęcie Ubiquiti to sygnał do natychmiastowej weryfikacji i aktualizacji oprogramowania.

Trzy podatności, jeden cel – pełna kontrola nad systemem

Błędy otrzymały identyfikatory CVE-2026-34908, CVE-2026-34909 oraz CVE-2026-34910. Każdemu z nich przypisano maksymalną dotkliwość w skali CVSS, co oznacza, że ryzyko związane z ich wykorzystaniem jest bardzo wysokie. Co istotne, producent w swoim komunikacie nie wspomniał o możliwości połączenia tych podatności w jeden spójny łańcuch ataku.

CVE-2026-34908 to luka w mechanizmie kontroli dostępu, która umożliwia nieautoryzowaną modyfikację ustawień systemu. Drugi błąd (CVE-2026-34909) to path traversal – pozwala na odczyt plików z systemu operacyjnego. Trzeci (CVE-2026-34910) toiniekcja komend, dzięki której atakujący może wykonać dowolne polecenia na podatnym urządzeniu. Badacze z Bishop Fox potwierdzili, że połączenie tych trzech defektów umożliwia uzyskanie powłoki z uprawnieniami roota bez konieczności logowania.

Jak działa łańcuch ataku?

Zgodnie z analizą Bishop Fox, główną przyczyną problemu jest rozbieżność między sposobem walidacji zapytań a ich routowaniem przez serwer Nginx. Komponent odpowiedzialny za uwierzytelnianie ocenia surowe URI żądania, podczas gdy Nginx kieruje je do odpowiednich usług na podstawie znormalizowanej wersji tego samego URI. Atakujący może stworzyć zapytanie, które w surowej postaci wygląda jak prośba o dostęp do punktu końcowego niewymagającego logowania, ale po znormalizowaniu trafia do chronionych zasobów wewnętrznych.

Po ominięciu uwierzytelniania napastnik może wykorzystać CVE-2026-34910, przekazując niesprawdzone dane wejściowe do mechanizmu aktualizacji pakietów (package-update). To z kolei pozwala na wykonanie dowolnych poleceń w systemie. Polecenia uruchamiane są w kontekście konta usługi o szerokich uprawnieniach sudo, co czyni eskalację do roota natychmiastową i nie wymaga dodatkowych działań.

Co jest zagrożone i jak się bronić?

UniFi OS to nie zwykły system operacyjny – to centralny element zarządzania całą infrastrukturą sieciową opartą na produktach Ubiquiti. Jak podkreślają badacze: „UniFi OS Server nie jest zwykłym Linuksem; to panel zarządzania siecią organizacji, w tym, w zależności od wdrożenia, fizycznymi zamkami do drzwi, kamerami monitoringu i tożsamościami użytkowników”. Przejęcie roota na takim urządzeniu oznacza praktycznie nieograniczoną kontrolę nad całym ekosystemem – od przepływu danych, przez fizyczne zabezpieczenia, aż po dostęp do sieci Wi-Fi.

Bishop Fox udostępnił darmowe narzędzie detekcyjne, które pozwala sprawdzić, czy dana instancja jest podatna na atak. Narzędzie wysyła specjalnie spreparowane żądanie, które dociera do podatnego kodu, ale nie wykonuje żadnych destrukcyjnych operacji. Wynik klasyfikuje system jako podatny, załatany, niezagrożony lub nierozstrzygnięty. Należy jednak pamiętać, że skrypt ten nie wykrywa, czy doszło już do włamania ani czy w systemie znajdują się backdoory.

Trudność wykrycia ataku i zalecenia

Jednym z najpoważniejszych wyzwań związanych z tą luką jest to, że atak nie pozostawia śladów w logach nieudanych prób logowania – po prostu ich nie ma. Jak ostrzega Bishop Fox: „Łańcuch ataku osiąga root (potwierdziliśmy to) bez danych uwierzytelniających i bez interakcji użytkownika, więc nie ma śladu nieudanego logowania, którego można by szukać”. Dlatego standardowe monitorowanie nieprawidłowych prób uwierzytelnienia może okazać się nieskuteczne.

Administratorzy powinni niezwłocznie zaktualizować system UniFi OS do wersji 5.0.8 lub nowszej. Przed aktualizacją warto sprawdzić, czy system nie został już skompromitowany – można w tym celu przejrzeć logi pod kątem nietypowych żądań zawierających ciąg /api/auth/validate-sso/ oraz zapytań do ucs/update/latest_package. Wskazane jest także monitorowanie nieoczekiwanych procesów potomnych pod ucs-update i nietypowych wywołań sudo.

Podsumowując: w przypadku infrastruktury Ubiquiti opóźnienie we wdrożeniu poprawek może skutkować utratą kontroli nad zarządzaną siecią. Aktualizacja jest jedynym pewnym sposobem na wyeliminowanie ryzyka.