Błąd CVE-2026-34909 w systemie UniFi OS pozwala bez hasła sięgnąć po pliki systemu bram, rejestratorów i serwerów Ubiquiti i przejąć konto. CISA potwierdza ataki. Sprawdzamy progi wersji dla każdego modelu i plan dla zarządu.
Ubiquiti UniFi to sprzęt sieciowy, który stoi w tysiącach małych i średnich firm: bramy Dream Machine, routery, kontrolery Cloud Key, rejestratory kamer UNVR i serwery plików UNAS. Luka CVE-2026-34909 w systemie UniFi OS pozwala osobie z dostępem sieciowym, bez hasła i bez kliknięcia kogokolwiek w firmie, wyjść poza folder, który urządzenie powinno udostępniać, sięgnąć po pliki systemu i wykorzystać je do przejęcia konta na urządzeniu.
Luka nie jest teoretyczna. CISA wpisała ją do katalogu podatności wykorzystywanych w atakach, a badacze opisali jej użycie w łańcuchu, który instaluje na urządzeniach UniFi bota z rodziny Mirai. Ten materiał jest dla zarządu i właścicieli firm: co się stało, co to znaczy dla biznesu i co trzeba zlecić dziś.
21 maja 2026 Ubiquiti opublikowało Security Advisory Bulletin 064 z trzema lukami ocenionymi na 10.0 w skali CVSS. Jedną z nich jest CVE-2026-34909. 23 czerwca 2026 amerykańska agencja CISA dodała ją do katalogu Known Exploited Vulnerabilities (KEV), razem z dwiema pozostałymi lukami z tego biuletynu. Termin naprawy dla agencji federalnych USA wyznaczono na 26 czerwca 2026, czyli trzy dni.
Dziś, 14 września 2026, od publikacji łatki minęło niemal 4 miesiące. Każde urządzenie UniFi, które do dziś nie dostało aktualizacji, trzeba traktować jako poważny problem, a jeśli jego panel był widoczny z internetu, jako możliwie przejęte.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34909 (w bazie ENISA: EUVD-2026-31384) |
Data dodania do CISA KEV | 2026-06-23 |
Termin CISA (dueDate) | 2026-06-26 |
Produkt | Ubiquiti UniFi OS: urządzenia z tym systemem oraz UniFi OS Server |
Wersje zagrożone | UniFi OS Server poniżej 5.0.8; bramy, routery, Cloud Key, rejestratory UNVR/ENVR, Express 7 poniżej 5.1.12; UDM-Beast poniżej 5.1.11; UNAS poniżej 5.1.10; Express poniżej 4.0.14 |
Wersje bezpieczne | Minimum: 5.0.8 (OS Server), 5.1.12 (większość urządzeń), 5.1.11 (UDM-Beast), 5.1.10 (UNAS), 4.0.14 (Express); zalecane: najnowsze wydanie, co najmniej 5.1.15 (UNAS 5.1.16, Express 4.0.15) z biuletynu 065 |
Typ podatności | Path Traversal, czyli wyjście poza dozwolony katalog (CWE-22) |
Ocena CVSS | 10.0 KRYTYCZNA (CVSS 3.1, wektor AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H), ocena nadana przez HackerOne jako CNA; NVD nie nadało własnej |
Użycie w ransomware (KEV) | Unknown, czyli brak potwierdzenia |
Biuletyn producenta | Security Advisory Bulletin 064, community.ui.com |
Pełna lista modeli z rekordu CVE, pogrupowana według progu wersji:
Grupa urządzeń | Modele | Podatne poniżej | Uwagi |
|---|---|---|---|
Bramy Dream Machine | UDM, UDM-Pro, UDM-SE, UDM-Pro-Max | 5.1.12 | Najczęstszy sprzęt w małych biurach |
Dream Machine Beast | UDM-Beast | 5.1.11 | Inny próg niż reszta UDM |
Routery i bramy chmurowe | UDR, UDR7, UDR-5G, UDW, UCG-Ultra, UCG-Max, UCG-Fiber, UCG-Industrial, EFG | 5.1.12 | EFG to brama klasy enterprise |
Kontrolery Cloud Key | UCK, UCKP, UCK-Enterprise | 5.1.12 | Często zapominane w szafie |
Rejestratory wideo | UNVR, UNVR-Pro, UNVR-Instant, UNVR-G2, UNVR-G2-Pro, ENVR, ENVR-Core | 5.1.12 | Dostęp do nagrań z kamer |
Serwery plików | UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4, UNAS-Pro-8 | 5.1.10 | Aktualizowane osobno |
Express | Express / Express 7 | 4.0.14 / 5.1.12 | Dwie różne linie numeracji |
Instalacja własna | UniFi OS Server | 5.0.8 | Działa na firmowym serwerze lub VM |
Słowniczek: CISA KEV to lista amerykańskiej agencji CISA z lukami, dla których są dowody użycia w prawdziwych atakach. CVSS to skala powagi błędu od 0 do 10. CNA to organizacja uprawniona do nadawania numerów CVE, tu HackerOne działający w imieniu Ubiquiti.
Wyobraź sobie archiwum firmy z okienkiem, przy którym archiwista wydaje dokumenty z jednej, jawnej półki: cenniki i ulotki. Klient podaje numer teczki, archiwista idzie na półkę i przynosi. Luka polega na tym, że archiwista nie sprawdza, co dokładnie klient napisał na kartce. Wystarczy zamiast numeru teczki napisać „wyjdź z tej półki, idź piętro wyżej, do sejfu dyrektora, teczka z hasłami”, a archiwista posłusznie tam pójdzie.
W urządzeniu UniFi takim sejfem są pliki systemu. Według opisu producenta napastnik może je odczytać i zmanipulować tak, aby dostać się na konto w urządzeniu. Z czytelnika staje się gospodarzem.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Kto może pobrać plik z urządzenia | Tylko zalogowany administrator, tylko z dozwolonych miejsc | Każdy, kto dotrze do panelu przez sieć |
Czy trzeba znać hasło | Tak | Nie |
Czy ktoś w firmie musi coś kliknąć | Nie dotyczy | Nie |
Co widzi napastnik | Stronę logowania | Pliki systemu urządzenia |
Kto kontroluje bramę, kamery, pliki | Dział IT firmy | Potencjalnie obcy operator albo botnet |
Słowniczek: Path Traversal to błąd, w którym program pozwala podać ścieżkę z ciągiem „../” (lub jego zakodowaną formą, np. „..%2f”), oznaczającym przejście katalog wyżej, i w ten sposób wyjść poza folder, który miał być jedynym dostępnym.
Oficjalny opis mówi o dostępie do plików i przejęciu konta. Firma PwnDefend, która 9 czerwca 2026 opisała ataki obserwowane w swoich pułapkach (honeypotach), pokazała praktyczny wariant: zakodowane sekwencje „..%2f” w adresie żądania sprawiają, że serwer nginx w urządzeniu uznaje żądanie za publiczne, ale kieruje je do chronionej części systemu. Atakujący łączą to z CVE-2026-34908 (błąd kontroli dostępu) i CVE-2026-34910 (wstrzyknięcie poleceń), żeby jednym żądaniem wykonać polecenia na urządzeniu.
Luka | Rola w ataku | CWE | CVSS | W KEV od |
|---|---|---|---|---|
CVE-2026-34909 (ten wpis) | Wyjście poza dozwoloną ścieżkę, dostęp do plików i chronionych zasobów | CWE-22 | 10.0 | 2026-06-23 |
CVE-2026-34908 | Ominięcie kontroli dostępu, nieautoryzowane zmiany w systemie | CWE-284 | 10.0 | 2026-06-23 |
CVE-2026-34910 | Wstrzyknięcie poleceń systemowych | CWE-20 | 10.0 | 2026-06-23 |
Mogę Ci jakoś pomóc?
Timeline ataku (zautomatyzowany skan z internetu):
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1 | T+0 min | Automatyczne skanowanie internetu w poszukiwaniu paneli UniFi OS | Lista adresów z podatnym sprzętem |
2 | T+1 min | Żądanie z zakodowanym „..%2f”, które omija sprawdzanie, czy trzeba być zalogowanym | Dostęp do chronionych zasobów bez hasła |
3 | T+2 min | Odczyt i modyfikacja plików systemu albo, w łańcuchu z CVE-2026-34910, wstrzyknięcie polecenia | Konto lub polecenia wykonywane na urządzeniu |
4 | T+5 min | Pobranie skryptu ładującego i bota (PwnDefend: plik „zok” i implant „azsxd” pochodny od Mirai/Gafgyt) | Urządzenie staje się częścią botnetu |
5 | Godziny do tygodni | Kradzież sekretów (klucze, dane VPN i RADIUS), podgląd sieci wewnętrznej, ataki DDoS z firmowego łącza | Utrata poufności, ryzyko dalszego włamania |
Czasy są poglądowe. Kluczowe jest to, że CISA oceniła atak jako zautomatyzowany: nikt nie wybiera celu ręcznie, a mała firma trafia na listę tak samo jak korporacja.
Konkretne scenariusze zagrożenia:
Brama UniFi to nie jest zwykły komputer w sieci. To urządzenie, przez które przechodzi cały ruch firmy i w którym zapisane są hasła VPN, konfiguracja Wi-Fi, a w rejestratorach także nagrania. CERT Polska w komunikacie 89/2026 wymienia wśród możliwych skutków kradzież kluczy JWT, poświadczeń RADIUS i VPN oraz danych biometrycznych, podszywanie się pod sesje administratora i dostęp do urządzeń w sieci wewnętrznej.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Przestój internetu i sieci biura, sklepu lub magazynu, wymiana lub reinstalacja bram | Minuty do godzin | 5 000-40 000 PLN za dzień przestoju |
Bezpieczeństwo danych | Kradzież haseł VPN, plików z UNAS, nagrań z kamer | Minuty | 50 000-500 000 PLN (analiza powłamaniowa, powiadomienia) |
Finansowy | Koszt reakcji na incydent, zmiana wszystkich haseł, prace zewnętrznej firmy | Dni | 20 000-150 000 PLN |
Reputacyjny | Utrata zaufania klientów po wycieku dokumentów lub nagrań | Dni do tygodni | Utrata 5-20% klientów w branżach usług zaufania |
Prawny | Kary RODO, roszczenia klientów | Miesiące | Do 20 mln EUR lub 4% rocznego obrotu |
Kwoty w tabeli to szacunki poglądowe dla małej i średniej firmy, a nie dane z konkretnego incydentu; jedynie górny limit kar RODO wynika wprost z przepisów.
Macierz ryzyka dla CVE-2026-34909:
Wpływ
5 | X <- CVE-2026-34909
4 | ■ ■
3 | ■ ■ ■
2 | ■ ■ ■ ■
1 | ■ ■ ■ ■ ■
+-------------------
1 2 3 4 5 Prawdopodobieństwo
Wpływ 5: pełna kontrola nad urządzeniem brzegowym sieci
Prawdopodobieństwo 5: potwierdzone ataki (KEV), atak zautomatyzowany,
EPSS 65% (percentyl 99,2) Słowniczek: EPSS to wskaźnik FIRST szacujący prawdopodobieństwo wykorzystania luki w ciągu 30 dni. Dla CVE-2026-34909 wynosi 0,65044 (stan na 13 września 2026), więcej niż dla 99% znanych podatności.
Jedynym sposobem usunięcia luki jest aktualizacja oprogramowania. Producent nie podał przełącznika, który wyłączałby podatną funkcję. Ubiquiti wydało też kolejne biuletyny: 065 z 12 czerwca 2026 (CVE-2026-47369 i CVE-2026-47370, naprawione w 5.1.15, UNAS w 5.1.16) oraz 066 z 7 lipca 2026. Dlatego celem nie jest „minimum 5.1.12”, tylko najnowsza dostępna wersja.
Priorytet | Działanie | Termin | Odpowiedzialny | Status |
|---|---|---|---|---|
🔴 NATYCHMIAST | Spis wszystkich urządzeń UniFi: model, wersja UniFi OS, czy panel jest dostępny z internetu | Dzisiaj | IT Manager | ☐ |
🔴 NATYCHMIAST | Aktualizacja każdego urządzenia do najnowszej wersji (co najmniej 5.1.15, UNAS 5.1.16, Express 4.0.15, OS Server najnowszy) | Dzisiaj | Administrator sieci | ☐ |
🔴 NATYCHMIAST | Odcięcie panelu zarządzania od internetu, dostęp tylko z sieci zarządczej lub przez VPN | Dzisiaj | IT Security | ☐ |
🟠 PILNIE | Dla urządzeń wystawionych do internetu i aktualizowanych z opóźnieniem: założenie kompromitacji, reinstalacja z zaufanej kopii lub ustawień fabrycznych | 24-48h | Incident Response | ☐ |
🟠 PILNIE | Zmiana haseł administratorów, kluczy VPN, sekretów RADIUS, wylogowanie wszystkich sesji | 24-48h | IT Security | ☐ |
🟡 WAŻNIE | Przegląd logów pod kątem ciągów „..%2f”, „..%2e”, „%2e%2e” i znaków poleceń powłoki | W ciągu tygodnia | SOC lub zewnętrzny partner | ☐ |
🟡 WAŻNIE | Włączenie automatycznych aktualizacji UniFi OS tam, gdzie jest to akceptowalne | W ciągu tygodnia | Administrator sieci | ☐ |
Mogę Ci jakoś pomóc?
Jeśli aktualizacja nie jest możliwa od ręki:
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Wyłączenie dostępu do panelu z internetu (w tym przekierowań portów, dla UniFi OS Server m.in. TCP 11443) | Wysoka wobec skanów z internetu, nie chroni przed kimś w sieci lokalnej | Wysoka |
Przeniesienie zarządzania do osobnego VLAN-u z dostępem tylko dla IT | Wysoka | Średnia |
Reguły WAF lub IPS blokujące zakodowane „..%2f” | Średnia, obejścia kodowania są możliwe | Niska dla małych firm |
Odłączenie urządzenia i praca na zapasowym routerze | Bardzo wysoka | Niska |
Czekanie z aktualizacją „do przeglądu” | Brak | Nie stosować |
Oceny efektywności są orientacyjne i nie pochodzą z pomiarów. Żadna z tych metod nie zastępuje aktualizacji, bo atak wymaga tylko dostępu sieciowego, a ten może mieć też zainfekowany komputer wewnątrz firmy.
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK, wpis w CISA KEV od 23 czerwca 2026; ocena CISA: wykorzystanie aktywne, atak zautomatyzowany, skutek całkowity |
Grupy przestępcze | Brak publicznie potwierdzonych danych o nazwanych grupach; PwnDefend opisał kampanię botnetu pochodnego od Mirai/Gafgyt (implant „azsxd”) |
Kampanie ransomware | Brak publicznie potwierdzonych danych (KEV: Unknown) |
Ocena CVSS | 10.0/10 (KRYTYCZNA) |
PoC dostępny publicznie? | Szczegóły techniczne łańcucha i adresy żądań opublikował PwnDefend; osobnego, oficjalnie potwierdzonego PoC dla samej CVE-2026-34909 nie ustalono |
Liczba atakowanych firm | Brak publicznie potwierdzonych danych |
Powiązane luki | CVE-2026-34908 (kontrola dostępu), CVE-2026-34910 (wstrzyknięcie poleceń), obie 10.0 i obie w KEV |
Stanowisko CERT Polska | Komunikat 89/2026 z 9 czerwca 2026: instancje dostępne z internetu, niezaktualizowane szybko, traktować jako skompromitowane |
Luka CVE-2026-34909 rzadko występuje w atakach sama. Jej rola to przejście przez drzwi, które powinny być zamknięte: w łańcuchu opisanym przez PwnDefend otwiera dostęp do części systemu, do której zwykle trzeba się zalogować. Dlatego załatanie samej jednej luki z trzech nie ma sensu; aktualizacja do nowszej wersji zamyka wszystkie jednocześnie.
Linia czasu incydentu:
2026-03-31: Rezerwacja numeru CVE-2026-34909
2026-05-21: Ubiquiti publikuje Security Advisory Bulletin 064 i poprawki
2026-05-22: Publikacja rekordu CVE, CVSS 10.0
2026-06-09: CERT Polska (komunikat 89/2026) i analiza ataków PwnDefend
2026-06-12: Biuletyn 065: kolejne luki (CVE-2026-47369, CVE-2026-47370)
2026-06-23: CISA dodaje CVE-2026-34909 do katalogu KEV
2026-06-26: Termin naprawy wyznaczony przez CISA
2026-07-07: Biuletyn 066 z kolejnymi poprawkami dla ekosystemu UniFi
2026-09-13: EPSS 0,65044, percentyl 99,2
2026-09-14: TUTAJ JESTEŚMY - 80 dni po terminie CISA, działaj natychmiast! Porównanie przed i po wdrożeniu planu:
Obszar | Przed | Po |
|---|---|---|
Wersja UniFi OS | Nieznana, różna na każdym urządzeniu | Spisana, najnowsza, z datą sprawdzenia |
Panel zarządzania | Dostępny z internetu lub z całej sieci biura | Tylko z VPN lub sieci zarządczej |
Hasła i klucze VPN | Te same od lat | Zmienione po aktualizacji |
Wiedza o włamaniu | Brak | Przejrzane logi, decyzja o reinstalacji |
Biuletyn producenta: https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b
✓ | Zadanie | Kto | Deadline |
|---|---|---|---|
☐ | Pobrać najnowsze UniFi OS z panelu urządzenia lub z https://community.ui.com/releases | IT Manager | DZISIAJ |
☐ | Sprawdzić, czy biuletyny 064 i 065 obejmują nasze modele i jaki jest próg wersji | IT Manager | DZISIAJ |
☐ | Zakomunikować krótką przerwę w działaniu sieci (restart bram i rejestratorów) | Project Manager | DZISIAJ |
☐ | Wdrożyć aktualizację na każdym urządzeniu osobno, łącznie z UNAS i Cloud Key | Administrator sieci | DZISIAJ |
☐ | Zablokować dostęp do panelu z internetu i zweryfikować to z zewnątrz | IT Security | DO JUTRA |
☐ | Zmienić hasła administratorów, klucze VPN i sekrety RADIUS | IT Security | DO JUTRA |
☐ | Przejrzeć logi i procesy pod kątem śladów ataku, zdecydować o reinstalacji | SOC | DO JUTRA |
☐ | Potwierdzić na piśmie wersję każdego urządzenia po aktualizacji | IT Manager | DO JUTRA |
Uwaga: jeśli firma korzysta z zewnętrznego serwisu IT, poproś o listę urządzeń z numerami wersji, a nie o ogólne zapewnienie „wszystko zaktualizowane”.
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy mamy urządzenia UDM, UDR, UCG, Cloud Key, UNVR, ENVR, UNAS, Express albo UniFi OS Server? | TAK / NIE | 🔴 |
2 | Jaka jest wersja UniFi OS na każdym z nich i czy jest to co najmniej 5.1.15 (UNAS 5.1.16)? | Lista urządzeń z wersjami | 🔴 |
3 | Czy panel któregokolwiek urządzenia był dostępny z internetu między 21 maja a dniem aktualizacji? | TAK / NIE | 🔴 |
4 | Czy po aktualizacji zmieniliśmy hasła i klucze VPN? | TAK / NIE | 🟠 |
5 | Czy mamy włączone automatyczne aktualizacje UniFi OS? | TAK / NIE | 🟠 |
6 | Czy przejrzeliśmy logi pod kątem „..%2f” i nieznanych procesów? | TAK / NIE | 🟠 |
7 | Czy mamy kopię konfiguracji sprzed maja 2026, z której można bezpiecznie odtworzyć urządzenie? | TAK / NIE | 🟡 |
8 | Czy wiemy, kto zgłasza incydent do UODO i właściwego CSIRT w ciągu 72 godzin? | TAK / NIE | 🟡 |
Pytania diagnostyczne dla managera:
Mogę Ci jakoś pomóc?
🔴 Podsumowanie dla zarządu: CVE-2026-34909 to luka w samym sercu sieci firmy, oceniona na 10.0, aktywnie wykorzystywana i atakowana automatycznie. Łatka istnieje od maja 2026. Jeśli nie wiesz, czy każde urządzenie UniFi w firmie jest zaktualizowane, dowiedz się tego dzisiaj.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułLuka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.