Ubiquiti hat Patches für drei Schwachstellen der höchsten Schweregradstufe bereitgestellt, die allesamt ohne Authentifizierung über das Netzwerk ausgenutzt werden können.
Die erste Lücke, CVE-2026-77537, steckt in der Videoüberwachungsplattform UniFi Protect Application. Eine unzureichende Eingabevalidierung erlaubt es nicht authentifizierten Angreifern, ungepatchte Geräte zu kompromittieren.
Die zweite Schwachstelle, CVE-2026-77550, ist eine CRLF-Injection. Ubiquiti beschreibt sie so: „Ein böswilliger Akteur mit Netzwerkzugang könnte eine Schwachstelle in der unzureichenden Neutralisierung von CRLF-Sequenzen in bestimmten Geräten ausnutzen, um die Authentifizierung bei solchen UniFi-OS-Geräten oder -Instanzen zu umgehen.“
Die dritte Lücke, CVE-2026-77554, ermöglicht Befehlsinjektion im VoIP-Telefoniesystem UniFi Talk Application und geht ebenfalls auf fehlerhafte Eingabeprüfung zurück.
Behoben wurden die Probleme in UniFi Protect Application 7.2.105 oder neuer, UniFi Talk Application 5.3.2 oder neuer sowie UniFi OS Server 5.1.21 und früher. Ob die Schwachstellen vor dem Patch bereits ausgenutzt wurden, hat Ubiquiti nicht offengelegt. Bekannt gab das Unternehmen jedoch, dass Angriffe darauf mit geringem Aufwand und ohne Zutun eines Nutzers möglich sind.
Erst am Donnerstag hatte Ubiquiti 18 weitere als kritisch eingestufte Sicherheitsprobleme geschlossen. Diese betrafen ein breites Produktspektrum: vom UniFi OS Server über die zentrale Netzwerkverwaltung UniFi Network Application und die Edge-Computing-Appliance UniFi Protect AI Key bis hin zu einer großen Auswahl an Routern, Gateways, NAS-Systemen und Überwachungslösungen des Herstellers.
Die Bedrohungsanalysefirma Censys erfasst inzwischen mehr als 100.000 im Internet erreichbare UniFi-OS-Instanzen. Wie viele davon Honeypots sind oder bereits gegen die aktuellen Lücken abgesichert wurden, ist nicht bekannt. Zudem können die Censys-Daten auch historische Scan-Ergebnisse enthalten und die Zahl der tatsächlich exponierten Systeme daher ungenau abbilden.
Ubiquiti-Hardware ist seit Jahren ein beliebtes Ziel staatlich unterstützter Gruppen wie krimineller Akteure, die daraus umfangreiche Botnetze aufbauen, um ihre Aktivitäten zu verschleiern. Im Februar 2024 zerschlug das FBI mit Moobot ein Botnetz aus Ubiquiti-Edge-OS-Routern, das der russische militärische Auslandsnachrichtendienst GRU nutzte, um Datenverkehr für Cyberspionageangriffe umzuleiten.
Zuletzt verpflichtete die US-Behörde CISA im Juni Bundesbehörden dazu, ihre Systeme binnen drei Tagen gegen drei andere UniFi-OS-Schwachstellen mit Höchstbewertung abzusichern. Diese waren einen Monat zuvor gepatcht worden und wurden anschließend aktiv angegriffen. Das Sicherheitsunternehmen Bishop Fox zeigte später, dass sich die Lücken verketten lassen, um Code aus der Ferne mit erhöhten Rechten auszuführen.