Ten wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w
Ten wpis tłumaczy, na czym polega błąd oznaczony jako CVE-2026-34909 w urządzeniach Ubiquiti z systemem UniFi OS, dlaczego dostał najwyższą możliwą ocenę zagrożenia, skąd wziął się trzydniowy termin naprawy wyznaczony przez amerykańską agencję bezpieczeństwa i po czym poznać, że sprzęt stojący w firmowej szafie jest już załatany.
Lista urządzeń objętych tą podatnością jest długa i obejmuje właściwie całą ofertę Ubiquiti dla mniejszych sieci. Są tam bramy Dream Machine w odmianach UDM, UDM-Pro, UDM-SE i UDM-Pro-Max, routery UDR i UDR7, bramy chmurowe UCG-Ultra, UCG-Max, UCG-Fiber oraz UCG-Industrial, kontrolery Cloud Key w wersjach UCK i UCK-Enterprise, rejestratory obrazu z rodzin UNVR i ENVR, a także serwery plików UNAS. Osobno wymieniony jest UniFi OS Server, czyli wariant instalowany na własnej maszynie zamiast na pudełku od producenta.
Dla właściciela firmy oznacza to jedno: jeżeli w serwerowni wisi biały lub czarny sprzęt z napisem UniFi, prawdopodobnie dotyczy go ten wpis. To nie jest podatność w egzotycznym oprogramowaniu, którą można odłożyć do przeglądu za kwartał.
Klasa błędu została opisana w bazie NIST jako CWE-22, czyli niepoprawne ograniczenie ścieżki do katalogu. Mechanizm da się wyjaśnić bez żargonu. Urządzenie udostępnia funkcję, która na żądanie zwraca jakiś plik, na przykład element interfejsu albo raport. Program bierze nazwę podaną przez rozmówcę i dokleja ją do ścieżki katalogu, w którym takie pliki mają leżeć. Jeżeli nikt nie sprawdzi, co dokładnie przyszło w tej nazwie, rozmówca może wpisać ciąg oznaczający wyjście o poziom wyżej, powtórzyć go kilka razy i wyjść z wyznaczonego katalogu na cały dysk urządzenia.
Opis podatności idzie o krok dalej niż samo czytanie. Napastnik mający dostęp sieciowy sięga po pliki systemu bazowego, a te pliki dają się zmanipulować tak, żeby uzyskać dostęp do konta na urządzeniu. Odczyt zamienia się w wejście.
Przykład z życia: hurtownia budowlana z rejestratorem UNVR i dwudziestoma kamerami na placu. Nikt się nie włamuje do kamer, bo nie trzeba. Wystarczy sięgnąć po pliki rejestratora, przerobić je i zalogować się jak administrator. Skutkiem jest podgląd bram, magazynu i kasy, a przy okazji przyczółek w sieci, z którego widać serwer z fakturami. Koszt to nie tylko utrata prywatności, ale całkiem realne przygotowanie kradzieży towaru, bo napastnik wie, kiedy plac jest pusty. Zamiast liczyć na to, że rejestrator jest niewidoczny, trzeba go po prostu zaktualizować i sprawdzić, czy jego panel nie odpowiada na zapytania z internetu.
Skala CVSS to punktacja od zera do dziesięciu, którą opisuje się powagę błędu w oprogramowaniu. Ta podatność ma w niej wartość 10.0 ze stopniem krytycznym, czyli maksimum. Warto wiedzieć, z czego ta liczba się składa, bo poszczególne elementy mówią więcej niż sama nota.
Atak prowadzi się przez sieć, a nie fizycznie przy urządzeniu. Ma niską złożoność, czyli nie wymaga szczególnych warunków ani szczęścia. Nie potrzeba żadnych uprawnień, więc napastnik nie musi mieć konta ani hasła. Nie potrzeba też interakcji użytkownika, czyli nikt w firmie nie musi w nic kliknąć. Skutki dla poufności, integralności i dostępności są pełne. Ostatni składnik, oznaczony jako zmiana zakresu, oznacza, że wyłom w jednym elemencie pozwala wpłynąć na coś poza nim, i to on podbija ocenę do okrągłej dziesiątki.
Jest tu jeden szczegół, który potrafi zmylić osobę zaglądającą do bazy. Ocena 10.0 pochodzi od HackerOne, czyli podmiotu, który zarejestrował ten wpis w imieniu producenta. Amerykański instytut NIST, prowadzący bazę NVD, nie nadał tej podatności własnej oceny, mimo że oznaczył rekord jako przeanalizowany. W praktyce znaczy to, że jedyna liczba, jaką widać, przyszła od strony zgłaszającej, a nie od niezależnego arbitra. Nie jest to powód, żeby ją lekceważyć, ale jest to powód, żeby nie traktować takiej noty jak wyroku sądu.
Amerykańska agencja CISA prowadzi katalog o nazwie Known Exploited Vulnerabilities, w którym umieszcza wyłącznie te błędy, dla których ma potwierdzenie realnych ataków. To ważne rozróżnienie: baza podatności zawiera setki tysięcy wpisów, natomiast do tego katalogu trafia ułamek z nich, i to taki, o którym wiadomo, że ktoś go faktycznie używa.
CVE-2026-34909 trafiło tam 23 czerwca 2026 roku pod nazwą opisującą przejście po katalogach w UniFi OS, razem z trzema innymi wpisami z tego samego dnia, w tym dwoma dotyczącymi tego samego systemu. Termin wykonania działań naprawczych wyznaczono na 26 czerwca, czyli trzy dni później. Dla porównania typowy termin w tym katalogu liczy się w tygodniach. Wymagana akcja odsyła do nowszej dyrektywy oznaczonej jako BOD 26-04 i nakazuje ocenić, czy podatny sprzęt jest wystawiony do internetu.
Mogę Ci jakoś pomóc?
Towarzysząca temu ocena CISA mówi wprost trzy rzeczy: wykorzystanie jest aktywne, atak da się zautomatyzować, a skutek techniczny jest całkowity. Automatyzacja jest tu najważniejszym słowem dla małej firmy, bo oznacza, że nikt nie wybiera celu ręcznie. Skanery przeczesują adresy po kolei i mała firma trafia na listę dokładnie tak samo jak korporacja.
Osobny wskaźnik o nazwie EPSS szacuje prawdopodobieństwo, że dana podatność zostanie wykorzystana w ciągu najbliższych trzydziestu dni. Dla tego wpisu wynosi on 0,63897, co plasuje go w percentylu 0,99189, czyli powyżej ponad dziewięćdziesięciu dziewięciu procent wszystkich znanych podatności. Katalog CISA nie wiąże natomiast tego błędu z żadną kampanią ransomware, więc scenariuszem do przygotowania jest raczej cichy dostęp niż zaszyfrowane dyski.
Producent naprawił błąd w kilku liniach oprogramowania i progi są różne. UniFi OS Server jest podatny poniżej wersji 5.0.8. Bramy, routery, kontrolery Cloud Key i rejestratory obrazu są podatne poniżej wersji 5.1.12. Model UDM-Beast ma próg niższy i naprawia go wersja 5.1.11. Serwery plików z rodziny UNAS naprawia wersja 5.1.10. Urządzenie o nazwie Express stoi zupełnie osobno, bo jego linia numeracji to 4.0.14, choć nowszy Express 7 trzyma się głównej linii 5.1.12.
Tu leży pułapka kosztowna dla firm z kilkoma urządzeniami. Biuro rachunkowe z bramą UDM-Pro i serwerem plików UNAS-Pro aktualizuje bramę, widzi wersję 5.1.12, uznaje sprawę za zamkniętą i wraca do pracy. Serwer plików, na którym leżą skany dokumentów klientów, zostaje na starym firmware, bo jego aktualizacja jest osobnym przyciskiem w innym miejscu panelu. Koszt takiej pomyłki to wyciek dokumentów objętych tajemnicą zawodową i obowiązek zgłoszenia go do urzędu ochrony danych. Zamiast ufać jednemu ekranowi, trzeba przejść listę urządzenie po urządzeniu i zapisać przy każdym numer wersji oraz datę sprawdzenia.
Jedynym sposobem usunięcia tej podatności jest wgranie nowszego oprogramowania. Nie ma tu przełącznika, który wyłączyłby podatną funkcję, ani ustawienia zmniejszającego ryzyko. To zawęża listę sensownych działań do dwóch.
Pierwsze polega na sprawdzeniu, czy panel zarządzania urządzeniem odpowiada na zapytania z zewnątrz. Skoro atak wymaga dostępu sieciowego i nie wymaga żadnych danych logowania, odcięcie panelu od internetu i pozostawienie go tylko dla sieci wewnętrznej albo połączenia szyfrowanego zmienia sytuację diametralnie. Drugie to prowadzenie prostego spisu sprzętu sieciowego z modelem, wersją i datą ostatniej aktualizacji. Bez takiego spisu pytanie o to, czy firma jest podatna, zostaje bez odpowiedzi, a odpowiedź trzeba mieć w godzinę, a nie w tydzień.
W europejskiej bazie prowadzonej przez agencję ENISA ta sama podatność figuruje pod identyfikatorem EUVD-2026-31384 i również jest tam oznaczona jako wykorzystywana w atakach.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Zwykle warunkiem ataku przez plik jest jego otwarcie. Tutaj Microsoft opisał sytuację, w której samo najechanie kursorem na plik leżący w folderze albo na udziale sieciowym wywracało powłokę systemu.
Czytaj artykułStrona firmowa oparta na gotowym systemie zarządzania treścią rzadko składa się z samego systemu. Dochodzą do niego dodatki: galeria, formularz, edytor tekstu wygodniejszy od wbudowanego.
Czytaj artykułPo przeczytaniu tego wpisu dowiesz się, dlaczego serwery firmowe wystawiają porty, o których nikt nie pamięta, co znaczy „podatność nieokreślona” w komunikacie producenta i dlaczego wyciek danych bywa groźniejszy niż zniszczenie systemu - oraz dlaczego reakcja przyszła półtora roku po ataku.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.