CRITICAL🚩 CISA KEV⚡ EXPLOIT✓ PATCH🇬🇧 English

CVE-2026-34910

Command Injection w UniFi OS via nieprawidłowa walidacja wejścia

CVSS 10.0v3.1pub. 2026-05-22upd. 2026-06-24

Podatność typu Improper Input Validation w urządzeniach UniFi OS umożliwia atakującemu z dostępem do sieci wykonanie command injection. Uzyskanie oceny CVSS 10.0 czyni tę lukę wyjątkowo niebezpieczną, gdyż nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

A malicious actor with access to the network could exploit an Improper Input Validation vulnerability found in UniFi OS devices to execute a Command Injection.

🤖 Analiza AI

Jak działa

Atakujący posiadający dostęp do sieci, w której działają urządzenia UniFi OS, może wysłać specjalnie spreparowane dane wejściowe do podatnego komponentu systemu. Ze względu na brak właściwej walidacji tych danych, złośliwe dane są interpretowane jako polecenia systemowe i wykonywane przez urządzenie. Podatność jest eksploitowalna zdalnie, bez konieczności posiadania uprawnień ani angażowania ofiary.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na zdalne wykonanie dowolnych poleceń systemowych na urządzeniu (command injection), co może prowadzić do pełnego przejęcia kontroli nad urządzeniem, utraty poufności i integralności danych oraz zakłócenia dostępności usług.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Szczegółowe informacje o wersjach zawierających poprawki dostępne są w biuletynie bezpieczeństwa Ubiquiti pod adresem wskazanym w sekcji referencji.

Kogo dotyczy

Urządzenia działające pod kontrolą systemu UniFi OS — wersje wskazane w referencjach producenta

CVSS Vector

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Ui Enterprise Fortress Gateway
HW
Ui
wszystkie wersje
Ui Enterprise Fortress Gateway Firmware
OS
Ui
< 5.1.12
Ui Enterprise Network Video Recorder
HW
Ui
wszystkie wersje
Ui Enterprise Network Video Recorder Core
HW
Ui
wszystkie wersje
Ui Enterprise Network Video Recorder Core Firmware
OS
Ui
< 5.1.12
Ui Enterprise Network Video Recorder Firmware
OS
Ui
< 5.1.12
Ui Unas 2
HW
Ui
wszystkie wersje
Ui Unas 2 Firmware
OS
Ui
< 5.1.10
Ui Unas 4
HW
Ui
wszystkie wersje
Ui Unas 4 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro
HW
Ui
wszystkie wersje
Ui Unas Pro 4
HW
Ui
wszystkie wersje
Ui Unas Pro 4 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro 8
HW
Ui
wszystkie wersje
Ui Unas Pro 8 Firmware
OS
Ui
< 5.1.10
Ui Unas Pro Firmware
OS
Ui
< 5.1.10
Ui Unifi Cloud Gateway Fiber
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Fiber Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Industrial
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Industrial Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Max
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Max Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Gateway Ultra
HW
Ui
wszystkie wersje
Ui Unifi Cloud Gateway Ultra Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloudkey
HW
Ui
wszystkie wersje
Ui Unifi Cloudkey Enterprise
HW
Ui
wszystkie wersje
Ui Unifi Cloudkey Enterprise Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloudkey Firmware
OS
Ui
< 5.1.12
Ui Unifi Cloud Key Plus
HW
Ui
wszystkie wersje
Ui Unifi Cloud Key Plus Firmware
OS
Ui
< 5.1.12

CISA KEV — szczegółyi

Dostawcai: Ubiquiti
Produkti: UniFi OS
Data dodania do KEVi: 23 czerwca 2026
Termin remediation (USA)i: 26 czerwca 2026(po terminie)

🇺🇸CISA KEV (oryginał)↗

Wymagana akcja (CISA)i

Zastosuj mitygacje zgodnie z instrukcjami producenta, zapewniając zgodność z wytycznymi CISA BOD 26-04 Prioritizing Security Updates Based on Risk (patrz URL w Notatkach) i wytycznymi "Forensics Triage Requirements" CISA (patrz URL w Notatkach). Postępuj zgodnie z obowiązującymi wytycznymi BOD 26-04 dla usług chmurowych lub zaprzestań użytkowania produktu, jeśli mitygacje są niedostępne. Interesariusze są odpowiedzialni za ocenę ekspozycji każdego zasobu na Internet i zapewnienie zgodności z wytycznymi BOD 26-04 dotyczącymi łatania.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Opis CISAi

Ubiquiti UniFi OS zawiera lukę w walidacji danych wejściowych, która mogłaby pozwolić złośliwemu aktorowi z dostępem do sieci na przeprowadzenie command injection.

tłumaczenie AI

▸ Pokaż oryginał (EN)

Ubiquiti UniFi OS contains an improper input validation vulnerability which could allow a malicious actor with access to the network to conduct command injection.

🔴