Im Mai 2026 hat Ubiquiti einen Notfall-Patch für sein UniFi OS veröffentlicht, welches drei kritische Schwachstellen (CVE-2026-34908, CVE-2026-34909, CVE-2026-34910), die mit einem CVSS 3.1 Index von 10.0 eingestuft wurden, schließt. Nun ist bekannt geworden, dass die Kombination der Schwachstellen Remote-Zugriffe ermöglicht. Sofern noch nicht geschehen, ist jetzt aber wirklich Patchen angesagt.
Ubiquiti produziert und vertreibt sowohl drahtlose als auch kabelgebundene Datenkommunikationsprodukte für Unternehmen und Privathaushalte unter verschiedenen Markennamen.
Ubiquity Sicherheitshinweis im Mai 2026
In UnifyOS wurden im Mai 2026 drei kritische Schwachstellen (CVE-2026-34908, CVE-2026-34909, CVE-2026-34910) öffentlich, die alle drei mit dem CVSS 3.1 Base Score von 10.0 als Critical eingestuft wurden.
- CVE-2026-34908: Eine Schwachstelle im Bereich der Zugriffskontrolle, die unbefugte Änderungen an anfälligen Systemen ermöglichen kann
- CVE-2026-34909: Eine Path-Traversal-Schwachstelle, die Dateien auf dem zugrunde liegenden Betriebssystem offenlegen kann
- CVE-2026-34910: Eine Befehlsinjektionsschwachstelle, die ausgenutzt werden kann, um Befehle auf betroffenen Geräten auszuführen
Ubiquiti hatte dazu am 21. Mai 2026 das Security Advisory Bulletin 064 veröffentlicht. Ein böswilliger Angreifer mit Netzwerkzugriff und weitreichenden Berechtigungen könnte eine in UniFi OS-Geräten festgestellte Sicherheitslücke, aufgrund fehlerhaften Validierung von Eingaben, ausnutzen, um eine Befehlsinjektion durchzuführen, hieß es seinerzeit. Das war so zu interpretieren, dass der Angreifer im lokalen Netzwerk unterwegs sein kann.
Betroffen ist UniFi OS Server (Version 5.0.6 und früher), eine Aktualisierung von UniFi OS Server auf Version 5.0.8 oder höher wurde von Ubiquiti dringend angeraten. Ich hatte im Blog-Beitrag Ubiquiti UniFi OS: Drei kritische Schwachstellen (CVE-2026-34908, CVE-2026-34909, CVE-2026-3491) auf diesen Sachverhalt hingewiesen.
Remote-Angriffe sind möglich
Nun gibt es eine neue Entwicklung, die gerade auf X (siehe nachfolgender Tweet) und im Web die Runde macht, und auch den Kollegen von Bleeping Computer aufgefallen ist.
Die Schwachstellen CVE-2026-34908 und CVE-2026-34909 lassen sich kombinieren, um eine Authentifizierung zu umgehen und auf angreifbare UniFi OS Server 5.0.6 Instanzen und Endpunkte zuzugreifen. Danach lässt sich die Schwachstelle CVE-2026-34910 für eine Command Injection missbrauchen.
Sicherheitsforscher von Bishop Fox haben die oben genannten Schwachstellen in einem Exploit verkettet und konnten zeigen, dass ein Remote-Zugriff ausführbar und der Angreifer anschließend sogar Root-Rechte erlangen kann. Jon Williams, Staff Security Engineer bei Bishop Fox hat die Details zum 5. Juni 2026 im Blog-Beitrag Popping Root on UniFi OS Server: Unauthenticated RCE Chain Detection & Analysis veröffentlicht.
Bei Bleeping Computer gibt es eine geraffte Zusammenfassung. Bishop Fox hat auf GitHub das kostenlose UniFi OS Server Unauth RCE Chain Detection Script zur Erkennung angreifbarer Instanzen veröffentlicht. Ubiquity hat bereits im Mai 2026 entsprechende Hotfixes zum Schließen der Schwachstellen freigegeben (siehe Ubiquiti UniFi OS: Drei kritische Schwachstellen (CVE-2026-34908, CVE-2026-34909, CVE-2026-3491)). Patchen ist also, sofern noch nicht passiert, angesagt.
Ähnliche Artikel:
Ubiquiti Firmware-Update brickt U6+-Devices
Ubiquiti: UniFi Access setzt "Full Access"-Richtlinie in UniFi Access Version 4.1.35
Ubiquiti UniFi Network Application-Schwachstellen (CVE-2026-22557, CVE-2026-22558)
Ubiquiti UniFi OS: Drei kritische Schwachstellen (CVE-2026-34908, CVE-2026-34909, CVE-2026-3491)
MVP: 2013 – 2016
Gibt seit 29.5.2026 schon die Release 5.1.15
https://ui.com/download/software/unifi-os-server
Habe etwas Angst zu Updaten… man ließt immer häufiger von div. Problemen.
Klar, es melden sich hier mehr Leute mit Problemen… aber es ist ja wohl was dran.
https://community.ui.com/releases/UniFi-OS-Dream-Machines-5-1-15/5ed916bc-aa53-4618-81b4-d97d45590b8d
richtig, bin noch auf 5.0.12 und bleibe auch noch etwas, da alle 5.1.x echte Probleme machen
Bei den neueren OS-Versionen fehlen mir schlicht zu viele Funktionen.
Das die alte Oberfläche eingestampft wurde, kam mir auch schon böse hoch. Ich mag es gar nicht, wenn mir Konfigurationsmöglichkeiten weg genommen werden.
Wir haben bei vielen "nur" einen Controller installiert und haben ein paar APs im Einsatz. Mit den neuen Versionen und auch der Server-OS kann man kaum noch was konfigurieren. Überall wird eine UGS benötigt. War vorhern nicht nötig, warum jetzt? Wir sind teils noch auf 4.5 deswegen. Die Controller sind auch daher größenteils von der Welt beschnitten.