Przejdź do treści
Luki i patche

Krytyczne podatności w Ubiquiti UniFi OS – administratorzy muszą działać natychmiast

CERT Polska ostrzega przed trzema krytycznymi podatnościami w Ubiquiti UniFi OS, które pozwalają nieuwierzytelnionemu atakującemu na zdalne przejęcie kontroli nad urządzeniem. Zalecana jest natychmiastowa aktualizacja oraz rotacja sekretów.

3 min read
An abstract composition of a glowing network router in the center, surrounded by fragmented digital shields and dark cable tendrils reaching outward, with a single red lock hanging broken on one of the cables.

Zespół CERT Polska opublikował ostrzeżenie o trzech krytycznych podatnościach w oprogramowaniu Ubiquiti UniFi OS, które umożliwiają nieuwierzytelnionemu atakującemu zdalne wykonanie kodu z uprawnieniami root. Podatności oznaczone jako CVE-2026-34908, CVE-2026-34909 i CVE-2026-34910 otrzymały maksymalną ocenę CVSS 10.0, co oznacza najwyższy możliwy poziom ryzyka. Administratorzy powinni niezwłocznie zaktualizować oprogramowanie i podjąć dodatkowe kroki zabezpieczające.

Co wiemy o podatnościach

Jak wynika z komunikatu CERT Polska, wszystkie trzy luki wynikają z błędów w kontroli dostępu oraz możliwości wstrzyknięcia kodu w usłudze aktualizacji. W połączeniu umożliwiają one ominięcie uwierzytelniania i wykonanie dowolnych poleceń w systemie z uprawnieniami administratora. Atakujący nie potrzebuje żadnych wcześniejszych danych logowania – wystarczy, że urządzenie jest dostępne przez sieć.

Google · preferowane źródłaCzytaj nas częściej. Dodaj sekuret.pl do preferowanych źródeł w Google →

Podatności dotyczą szerokiego spektrum produktów Ubiquiti korzystających z systemu UniFi OS, w tym kontrolerów, bram sieciowych i punktów dostępowych. Pełną listę podatnych wersji wraz z zaleceniami aktualizacji producent udostępnił w swoim biuletynie bezpieczeństwa.

Dlaczego to ważne dla polskich użytkowników i firm

Urządzenia Ubiquiti są powszechnie stosowane w małych i średnich przedsiębiorstwach, instytucjach publicznych oraz sieciach domowych w Polsce. Ze względu na rolę, jaką pełnią w zarządzaniu siecią, skutki kompromitacji wykraczają daleko poza samo urządzenie. Jak wskazuje CERT Polska, atakujący może pozyskać przechowywane sekrety, w tym klucze JWT, poświadczenia RADIUS, VPN oraz dane biometryczne. Może również fałszować sesje administratora i uzyskać dostęp do innych urządzeń w sieci wewnętrznej.

Oznacza to, że przejęcie kontroli nad jednym kontrolerem UniFi może prowadzić do dalszej eskalacji ataku w całej infrastrukturze IT. W praktyce skala zagrożenia jest bardzo duża – szczególnie jeśli urządzenia są wystawione bezpośrednio na internet.

Jak reagować – aktualizacja to nie wszystko

Producent udostępnił już poprawki, a CERT Polska rekomenduje niezwłoczną aktualizację oprogramowania do wersji pozbawionych podatności. Jednak sam fakt zainstalowania łatki nie usuwa skutków ewentualnej wcześniejszej kompromitacji. Dlatego eksperci zalecają podjęcie dodatkowych kroków:

  • Traktowanie każdej dostępnej z internetu instancji, która nie została zaktualizowana zaraz po wydaniu poprawki, jako skompromitowanej.
  • Ograniczenie dostępu do interfejsu webowego wyłącznie do zaufanych sieci zarządczych – najlepiej poprzez VPN lub lokalne połączenie.
  • Rotację sekretów, w tym kluczy podpisywania tokenów JWT oraz poświadczeń sieciowych (RADIUS, VPN).
  • Weryfikację zarządzanych urządzeń pod kątem nieautoryzowanych zmian w konfiguracji.

Ponadto CERT Polska ostrzega, że potwierdzenie udanego ataku jest utrudnione, ponieważ atakujący po uzyskaniu uprawnień root może usunąć lokalne logi. Kluczowe staje się monitorowanie ruchu sieciowego i analiza logów zabezpieczonych w zewnętrznych systemach (np. SIEM).

Na co zwracać uwagę w logach

Analitycy bezpieczeństwa powinni sprawdzać logi pod kątem następujących anomalii:

  • Żądania do ścieżki /api/auth/validate-sso/ zawierające zakodowane znaki umożliwiające atak path traversal, na przykład ..%2f lub %2e%2e.
  • Zapytania do ścieżki /ucs/update/latest_package z obecnością znaków specjalnych powłoki systemowej służących do wstrzykiwania kodu (shell metacharacters).
  • Niestandardowe procesy w systemie oraz podejrzane wywołania poleceń sudo dpkg, chmod lub systemctl uruchamianych przez konto usługowe ucs-update.

Szczegółowe wskaźniki kompromitacji (IoC) oraz techniczny opis wektora ataku opublikowali także badacze z firmy Bishop Fox.

Podsumowanie i dalsze kroki

Sytuacja jest poważna, ale możliwa do opanowania. Administratorzy powinni jak najszybciej zaktualizować wszystkie urządzenia z systemem UniFi OS do wersji wskazanej przez producenta. Równie ważne jest założenie, że opóźnienie w instalacji poprawki mogło już doprowadzić do kompromitacji. Dlatego rotacja sekretów i weryfikacja logów są niezbędne. W dłuższej perspektywie warto rozważyć ograniczenie dostępu do paneli zarządzania wyłącznie przez bezpieczne, izolowane sieci. W przypadku wykrycia śladów ataku należy niezwłocznie skontaktować się z zespołem CERT Polska.

#CERT Polska #CVE-2026-34908 #podatność krytyczna #Ubiquiti #UniFi OS #zdalne wykonanie kodu
Redakcja sekuret.pl

Redakcja sekuret.pl

AUTHOR
All articles

Read next

Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic close-up of a middle-aged woman sitting at a home desk in a Polish apartment, looking worried while staring at a laptop screen. Soft natural daylight from a window, slight film grain, shallow depth of field. The image conveys tension and personal risk, not a generic tech illustration. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

5 milionów haseł w minutę. Czy twoje hasło jest bezpieczne?

28 lipca, 2026 4 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic stock-style photo of a person in a home office, looking concerned at a laptop screen. The laptop screen is deliberately blurred, but the user's hand hovers over the keyboard. The background shows a messy desk with a coffee mug and a plant. Natural daylight, shallow depth of field, slightly grainy, 16:9 crop. No text or visible interface. The mood is tense, as if the person just realized something is wrong. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Jeden link wystarczył, by przejąć agenta AI w firmie. Nowa luka w ChatGPT

25 lipca, 2026 3 min read
Colour signature: deep navy blue and cold white. Low-key night lighting, single hard light source, long dramatic shadows, tense after-hours office or desk mood, restrained and tense. A photorealistic medium shot of a person in a dimly lit server room, standing in front of a rack of servers, looking at the equipment with a worried expression, dramatic lighting, shallow depth of field, 16:9 aspect ratio, high contrast, no text or logos visible, style of Getty Images reportage photography. Photorealistic documentary/stock photograph, shot on a real camera - NOT an illustration, NOT digital art, NOT a painting, NOT a vector graphic, NOT a 3D render. Candid natural moment, real skin texture, natural window or ambient light, shallow depth of field, subtle photographic grain, wide 16:9 frame, one dominant close-up subject. Strictly NO text, NO letters, NO numbers, NO digits, NO words, NO typography, NO logos, NO labels, NO watermarks, NO user interface, NO screens showing content, NO banknotes, NO documents, NO signage, NO illustration style, NO cartoon style, NO 3D render style.
Luki i patche

Redis ma krytyczne luki zero-day. Co to oznacza dla twoich danych?

24 lipca, 2026 3 min read