Ubiquiti UniFi OS: 3 kritische Sicherheitslücken (CVSS 10.0)

Einleitung

Netzwerk-Admins aufgepasst: Ubiquiti hat am 21. Mai 2026 drei kritische Sicherheitslücken in UniFi OS veröffentlicht, die jeweils mit dem höchstmöglichen CVSS-Score von 10.0 bewertet wurden. Die Schwachstellen ermöglichen nicht authentifizierten Angreifern die vollständige Übernahme betroffener Geräte – ohne Benutzerinteraktion und mit minimalem Aufwand.

Da UniFi-Geräte wie UDM, UCG und UNVR oft an zentraler Stelle im Netzwerk stehen und teilweise direkt aus dem Internet erreichbar sind, ist eine schnelle Reaktion essenziell. Dieser Artikel erklärt die technischen Details und zeigt die notwendigen Maßnahmen.

Was ist UniFi OS?

UniFi OS ist das Linux-basierte Betriebssystem, das auf allen UniFi Consoles läuft – von der Dream Machine (UDM) über Cloud Gateways (UCG) bis hin zu Network Video Recordern (UNVR). Es bildet das zentrale Management für:

• UniFi Network (Router, Switches, Access Points)
• UniFi Protect (Kameras, Videoüberwachung)
• UniFi Access (Zutrittskontrolle)
• UniFi Talk (VoIP)
• UniFi Connect (Smart Building)

Laut Censys sind aktuell rund 100.000 UniFi OS-Instanzen direkt aus dem Internet erreichbar – die meisten davon in den USA, aber auch in Europa und Deutschland.

Die 3 kritischen CVEs im Detail

Alle drei Schwachstellen wurden über das HackerOne Bug-Bounty-Programm gemeldet und sind laut offizieller Stellungnahme in „Low-Complexity-Angriffen“ ausnutzbar.

CVE-2026-34908: Improper Access Control

• Entdeckt von: Duc Anh Nguyen (@heckintosh_)
• Typ: Fehlende Zugriffskontrolle
• Risiko: Ein Angreifer im Netzwerk kann ohne Authentifizierung unautorisierte Systemänderungen vornehmen
• Auswirkung: Vollständige Kompromittierung des Geräts möglich

Diese Schwachstelle erlaubt es einem Angreifer, Konfigurationen zu manipulieren und potenziell Administratorenrechte zu erlangen.

CVE-2026-34909: Path Traversal

• Entdeckt von: Abdulaziz Almadhi (Catchify Security)
• Typ: Pfadtraversierung (CWE-22)
• Risiko: Zugriff auf beliebige Dateien des zugrundeliegenden Systems
• Auswirkung: Sensible Dateien können ausgelesen und zur Account-Kompromittierung genutzt werden

Durch geschickte Pfadmanipulation können Angreifer auf Systemdateien zugreifen, die normalerweise geschützt sind – etwa Passwort-Hashes oder Konfigurationsdateien.

CVE-2026-34910: Command Injection

• Entdeckt von: John Carroll
• Typ: Unzureichende Eingabevalidierung
• Risiko: Ausführung beliebiger Befehle auf dem System
• Auswirkung: Remote-Code-Ausführung mit Systemrechten

Die kritischste der drei Lücken ermöglicht direkte Command Injection über das Netzwerk. Ein Angreifer kann damit Schadcode mit vollen Systemrechten ausführen.

Betroffene Geräte und Firmware-Versionen

Für CVE-2026-34908, CVE-2026-34909 und CVE-2026-34910:

Geräte-Serie	Betroffene Versionen
UCG-Industrial	5.0.13 und früher
UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UCG-Max, UCG-Fiber	5.0.16 und früher
UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise	5.0.17 und früher
UniFi OS Server	5.0.6 und früher
UNVR-G2, UNVR-G2-Pro	5.1.11 und früher
UDM-Beast, UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8	5.1.8 und früher

Nur CVE-2026-34909:

Gerät	Betroffene Version
Express	4.0.13 und früher

Firmware-Updates verfügbar

Ubiquiti hat zeitgleich mit der Veröffentlichung der Sicherheitslücken auch Patches bereitgestellt. Administratoren sollten sofort auf folgende Versionen aktualisieren:

• UniFi OS Console: Version 5.0.18 oder höher
• UCG-Industrial: Version 5.0.14 oder höher
• UniFi OS Server: Version 5.0.8 oder höher
• Express: Version 4.0.14 oder höher
• UNVR-G2-Serie: Version 5.1.12 oder höher
• UDM-Beast/UNAS-Serie: Version 5.1.9 oder höher

Wichtiger Hinweis zu CVE-2026-33000

Zusätzlich zu den drei „max severity“-Lücken wurde auch CVE-2026-33000 gepatcht – eine weitere Command Injection-Schwachstelle in UniFi OS Server (Version 5.0.6 und früher). Die Korrektur erfolgt ebenfalls mit Version 5.0.8.

Empfohlene Maßnahmen

Sofortmaßnahmen (Priorität 1)

1. Firmware aktualisieren: Alle betroffenen Geräte sofort auf die neueste Version updaten
2. Internet-Exposition prüfen: Prüfen, ob UniFi-Geräte direkt aus dem Internet erreichbar sind und ggf. Zugriff einschränken
3. Logs überprüfen: Auf ungewöhnliche Aktivitäten in den System-Logs achten

Kurzfristige Maßnahmen (Priorität 2)

4. Netzwerksegmentierung: Management-Interfaces in separate VLANs isolieren
5. Zugriffsbeschränkung: Admin-Interfaces nur über VPN oder interne Netze zugänglich machen
6. Passwort-Reset: Nach dem Update Administrator-Passwörter erneuern

Langfristige Sicherheit

7. Auto-Update aktivieren: Wo verfügbar, automatische Sicherheitsupdates konfigurieren
8. Monitoring einrichten: Auf Alerts zu neuen CVEs für eingesetzte Hardware abonnieren

Fazit

Die drei CVEs in UniFi OS stellen eine ernsthafte Bedrohung für Netzwerkinfrastrukturen dar. Die Kombination aus hohem CVSS-Score, einfacher Ausnutzbarkeit und der zentralen Rolle von UniFi-Geräten im Netzwerk erfordert sofortiges Handeln.

Die gute Nachricht: Ubiquiti hat schnell reagiert und Patches bereitgestellt. Wer seine Firmware jetzt aktualisiert und die Management-Interfaces absichert, ist auf der sicheren Seite.

Quellen

1. Ubiquiti Security Advisory Bulletin 064 – Offizielle Sicherheitsmeldung
   https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b
2. BleepingComputer – „Ubiquiti patches three max severity UniFi OS vulnerabilities“
   https://www.bleepingcomputer.com/news/security/ubiquiti-patches-three-max-severity-unifi-os-vulnerabilities/
3. Cyber Security Agency of Singapore (CSA) – Security Alert AL-2026-059
   https://www.csa.gov.sg/alerts-and-advisories/alerts/al-2026-059/
4. Field Effect – „Maximum-severity UniFi OS vulnerabilities enable full network takeover“
   https://fieldeffect.com/blog/unifi-os-vulnerabilities-patches
5. Cyber Security News – „Ubiquiti Patches Critical UniFi OS Vulnerabilities“
   https://cybersecuritynews.com/unifi-os-vulnerabilities-privilege-escalation/
6. Censys – Internet-Exposition Statistik (via BleepingComputer zitiert)

Letzte Aktualisierung: 26. Mai 2026
Status: Entwurf – Freigabe durch Dennis erforderlich