Zum Inhalt springen
StartAdvisoriesRansomwareCW-PodcastPodcastsBücherCreatorsSpeakerFirmenKarriereEventsCB-NetzwerkMatrix-ServerFAQBesucherstatistikFormulareSuche
CVE-2026-34908CriticalCVSS: 10

CVE-2026-34908: Kritische Schwachstelle in UniFi OS ermöglicht unbefugte Systemänderungen

Eine kritische Schwachstelle in UniFi OS-Geräten mit CVSS-Score 10.0 erlaubt Angreifern mit Netzwerkzugriff ohne Authentifizierung unbefugte Systemänderungen. Die Schwachstelle wurde von Duc Anh Nguyen entdeckt. Patches stehen für alle betroffenen Produkte zur Verfügung.

METADATEN

Entdeckt:
22.05.2026
Patch verfügbar:
Ja

BETROFFENE SYSTEME

  • •UniFi OS Server
  • •UCK
  • •UDR7
  • •UDM-Pro-Max
  • •ENVR-Core
  • •UNVR-G2-Pro
  • •UDM-Pro
  • •EFG
  • •UDW
  • •UCG-Ultra
  • •UNAS-2
  • •UNAS-Pro-4
  • •Express 7
  • •UNAS-4
  • •UCG-Fiber
  • •UNAS-Pro-8
  • •UCKP
  • •UCG-Industrial
  • •ENVR
  • •UDR-5G
  • •UNVR-Pro
  • •UCG-Max
  • •UDM-Beast
  • •UNVR-Instant
  • •UNVR
  • •UNAS-Pro
  • •UDM-SE
  • •UNVR-G2
  • •UCK-Enterprise

Zusammenfassung

Für die Schwachstelle CVE-2026-34908 (veröffentlicht am 21. Mai 2026) wurde ein CVSS-Score von 10.0 (Critical) vergeben. Ein Angreifer mit Netzwerkzugriff kann die Schwachstelle ausnutzen, ohne über Authentifizierung oder privilegierte Zugriffe zu verfügen. Die Schwachstelle betrifft zahlreiche UniFi OS-Geräte von Ubiquiti Inc.

Technische Details

Bei CVE-2026-34908 handelt es sich um eine Improper Access Control-Schwachstelle in UniFi OS. Ein Angreifer mit Netzwerkzugriff kann diese ausnutzen, um unbefugte Änderungen am System vorzunehmen. Die Schwachstelle erfordert keine Authentifizierung und kann aus der Ferne ausgenutzt werden.

CVSS 3.1 Vektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

  • AV:N – Angriff über Netzwerk
  • AC:L – Geringe Angriffskomplexität
  • PR:N – Keine Berechtigungen erforderlich
  • UI:N – Keine Benutzerinteraktion
  • S:C – Auswirkung auf verbundene Systeme
  • C:H/I:H/A:H – Hohe Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit

Betroffene Systeme

Produkt Betroffene Version Korrigierte Version
UniFi OS Server ≤ 5.0.6 5.0.8
UCG-Industrial ≤ 5.0.13 5.1.12
UDM, UDM-Pro, UDM-SE, UDM-Pro-Max ≤ 5.0.16 5.1.12
EFG, UDW, UDR7, Express 7 ≤ 5.0.16 5.1.12
UNVR, UNVR-Pro, UNVR-Instant, ENVR ≤ 5.0.16 5.1.12
UCG-Ultra, UCG-Max, UCG-Fiber ≤ 5.0.16 5.1.12
UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise ≤ 5.0.17 5.1.12
UNVR-G2, UNVR-G2-Pro ≤ 5.1.11 5.1.12
UDM-Beast ≤ 5.1.8 5.1.11
UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8 ≤ 5.1.8 5.1.10

Empfehlungen und Maßnahmen

Betroffene Geräte sollten umgehend auf die jeweils verfügbare korrigierte Version aktualisiert werden. Ein Update auf die folgenden Versionen schließt die Sicherheitslücke:

  • UniFi OS Server → 5.0.8 oder höher
  • UCG-Industrial → 5.1.12 oder höher
  • UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UCG-Max, UCG-Fiber → 5.1.12 oder höher
  • UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise → 5.1.12 oder höher
  • UNVR-G2, UNVR-G2-Pro → 5.1.12 oder höher
  • UDM-Beast → 5.1.11 oder höher
  • UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8 → 5.1.10 oder höher

Zusätzlich wird empfohlen, den Netzwerkzugriff auf die Verwaltungsschnittstellen der Geräte auf vertrauenswürdige Netzwerke zu beschränken und die Zugriffsprotokolle regelmäßig zu überprüfen.

Quellen

REFERENZEN