Błąd kontroli dostępu w UniFi OS razem z dwiema innymi lukami pozwala ominąć logowanie i przejąć urządzenie oraz klucze do sieci. CERT Polska każe uznać niezaktualizowane urządzenia z internetu za przejęte. Zaktualizuj i wymień klucze.
Ten alert jest dla zarządu, CTO i CFO firm, które korzystają z bram, kontrolerów, rejestratorów obrazu lub pamięci masowych Ubiquiti UniFi. Werdykt: jeśli urządzenie UniFi ma oprogramowanie sprzed wersji naprawionej dla swojego modelu i jest dostępne z internetu, zaktualizuj je natychmiast, wymień klucze i poświadczenia, a jeśli stało niezałatane w internecie, potraktuj je jak przejęte, bo trzy luki razem dają pełną kontrolę nad urządzeniem, a atak jest potwierdzony.
Amerykańska agencja CISA 23 czerwca 2026 roku dopisała podatność CVE-2026-34908 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd dotyczy UniFi OS, systemu urządzeń sieciowych Ubiquiti. Napastnik z dostępem do sieci może wprowadzić nieautoryzowane zmiany w systemie, bez konta i bez udziału użytkownika.
CERT Polska podaje, że ta luka razem z CVE-2026-34909 i CVE-2026-34910 pozwala ominąć uwierzytelnianie i wykonać dowolne polecenia z uprawnieniami administratora, a napastnik może pozyskać klucze do podpisywania tokenów oraz poświadczenia RADIUS i VPN. Termin naprawy wyznaczony przez CISA minął 26 czerwca 2026 roku (trzy dni od wpisu).
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2026-34908 (ENISA: EUVD-2026-31383; łańcuch z CVE-2026-34909 i CVE-2026-34910) |
Data dodania do CISA KEV | 2026-06-23 |
Termin naprawy wg CISA | 2026-06-26 |
Produkt | Ubiquiti UniFi OS (bramy, kontrolery, rejestratory obrazu, pamięci masowe) |
Wersje zagrożone | UniFi OS Server poniżej 5.0.8. Większość urządzeń (UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, UDR-5G, Express 7, UNVR i odmiany, ENVR, ENVR-Core, UCG Ultra/Max/Fiber/Industrial, UCK/UCKP/UCK-Enterprise) poniżej 5.1.12. UDM-Beast poniżej 5.1.11. Pamięci UNAS-2/4/Pro/Pro-4/Pro-8 poniżej 5.1.10 |
Wersje bezpieczne | UniFi OS Server 5.0.8; większość urządzeń 5.1.12; UDM-Beast 5.1.11; rodzina UNAS 5.1.10 (dla swojego modelu). Aktualizacja nie usuwa nowszych luk CVE-2026-47369 i CVE-2026-47370 |
Typ podatności | Niewłaściwa kontrola dostępu; CWE-284 |
Ocena CVSS | HackerOne (podmiot rejestrujący): 10.0 (CVSS 3.1, KRYTYCZNA). Atak przez sieć, bez uprawnień, bez udziału użytkownika, skutki poza urządzeniem. NVD nie wystawiło własnej oceny |
Wyobraź sobie zamek w drzwiach, który sprawdza, czy klucz pasuje do zamka, ale nie sprawdza, czy trzyma go osoba uprawniona. Niewłaściwa kontrola dostępu to właśnie taki brak pytania „a kto ty jesteś” we właściwym momencie. Napastnik nie musi łamać hasła ani wykorzystywać błędu pamięci: po prostu prosi o operację, do której nie ma prawa, a system ją wykonuje.
Sama ta luka pozwala „zmienić coś w systemie”. Groźne robi się to w połączeniu z dwiema innymi (CVE-2026-34909 i CVE-2026-34910): razem dają pełną kontrolę nad urządzeniem z uprawnieniami administratora. Napastnik może wtedy wykraść klucze do podpisywania tokenów logowania (i logować się jako dowolny pracownik bez znajomości hasła) oraz poświadczenia RADIUS i VPN (czyli klucze do wejścia do firmowej sieci z zewnątrz). Przejęcie jednego pudełka kończy się więc możliwością wejścia do całej sieci firmy.
💡 UniFi OS to system urządzeń sieciowych Ubiquiti (brama, kontroler Wi-Fi, rejestrator kamer). Token JWT to podpisany „bilet”, którym przeglądarka dowodzi, że użytkownik jest zalogowany; kto ma klucz, wystawia własne bilety. RADIUS sprawdza, kto może podłączyć się do sieci. VPN to szyfrowane wejście do firmy z zewnątrz. Łańcuch luk to kilka błędów użytych po kolei.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Żądanie zmiany w systemie | Wymaga uprawnień administratora | Może je wykonać ktoś z sieci bez konta |
Trzy luki osobno | Każda robi niewiele | Razem dają pełną kontrolę nad urządzeniem |
Klucze do tokenów logowania | Znane tylko urządzeniu | Napastnik może je wykraść i podszyć się pod pracownika |
Poświadczenia RADIUS i VPN | Chronią wejście do sieci | Mogą trafić w ręce napastnika |
Aktualizacja firmware | Zamyka znane luki | Nie usuwa wykradzionych wcześniej kluczy |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej klasy podatności, oparty na komunikacie CERT Polska. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Atak nie wymaga logowania, a CISA ocenia go jako automatyzowalny, więc najbardziej narażone są urządzenia UniFi dostępne z internetu.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Wyszukiwanie urządzeń UniFi dostępnych z internetu | Lista celów |
2. Łańcuch luk | T+minuty | Połączenie CVE-2026-34908, 34909 i 34910 (m.in. żądania do /api/auth/validate-sso/ i /ucs/update/latest_package) | Ominięcie logowania, wykonanie poleceń jako administrator |
3. Kradzież kluczy | T+minuty | Pozyskanie kluczy do tokenów oraz poświadczeń RADIUS i VPN | Możliwość podszycia się pod pracowników |
4. Zacieranie śladów | T+minuty | Usunięcie lokalnych dzienników zdarzeń | Brak śladów na samym urządzeniu |
5. Wejście do sieci | T+godziny do dni | Logowanie przez VPN jako pracownik, dostęp do systemów firmy | Napastnik w sieci wewnętrznej |
6. Dalsze działania | T+dni | Kradzież danych, dostęp do kamer, ruch po sieci | Wyciek lub szersze włamanie |
Urządzenie UniFi często pełni kilka ról naraz: brama do internetu, kontroler Wi-Fi, rejestrator kamer, a bywa że i VPN. Jedno wejście daje więc dostęp do wielu rodzajów danych i do samej sieci firmowej. Ocena 10.0, potwierdzone ataki i zalecenie CERT Polska, by niezałatane urządzenia z internetu uznać za przejęte, stawiają tę lukę w najwyższym priorytecie.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Odtworzenie urządzenia, wymiana kluczy i poświadczeń, przerwa w sieci i VPN | Dni | 20 tys. do 200 tys. PLN (przestój, praca IT) |
Bezpieczeństwo danych | Dostęp do sieci firmowej, kamer, danych logowania pracowników | Godziny od przejęcia | 30 tys. do 300 tys. PLN (analiza powłamaniowa, obsługa incydentu) |
Finansowy | Koszty specjalistów, skutki włamania do sieci przez VPN | Tygodnie | 50 tys. do 600 tys. PLN |
Reputacyjny | Utrata zaufania klientów, jeśli włamanie objęło ich dane lub obraz z kamer | Miesiące | 30 tys. do 400 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, jeśli wyciekną dane osobowe (w tym nagrania); możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (obsługa prawna, zgłoszenia), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla urządzenia UniFi bez poprawki,
dostępnego z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: ryzyko jest krytyczne, bo spełnione są wszystkie warunki: brak logowania, automatyzacja, EPSS około 0,85, pełna kontrola nad urządzeniem i wejście do sieci firmowej; urządzenie niedostępne z internetu i zaktualizowane, z wymienionymi kluczami, jest znacznie niżej.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać urządzenia UniFi (model i wersja) i sprawdzić każde wobec progu dla jego modelu | Dziś | Administrator sieci |
2 | 🔴 NATYCHMIAST | Zaktualizować oprogramowanie do wersji naprawionej właściwej dla modelu | Dziś | Administrator sieci |
3 | 🔴 NATYCHMIAST | Odciąć interfejs zarządzania UniFi od internetu, zostawić dostęp tylko z zaufanej sieci | Dziś | Administrator sieci |
4 | 🔴 NATYCHMIAST | Wymienić klucze podpisywania tokenów oraz poświadczenia RADIUS i VPN (aktualizacja ich nie unieważnia) | Dziś | Administrator sieci |
5 | 🟠 PILNIE | Uznać każde niezałatane urządzenie dostępne z internetu za potencjalnie przejęte i przeszukać ruch oraz logi zabezpieczone poza urządzeniem | Do 3 dni | Zespół bezpieczeństwa |
6 | 🟠 PILNIE | Sprawdzić żądania do /api/auth/validate-sso/ z sekwencjami przejścia po katalogach i do /ucs/update/latest_package z metaznakami powłoki | Do 3 dni | Zespół bezpieczeństwa |
7 | 🟡 WAŻNIE | Skonfigurować wysyłanie dzienników z urządzeń brzegowych na osobny serwer i śledzić kolejne poprawki (47369, 47370) | Do 30 dni | CTO |
Producent wydał poprawki dla wszystkich modeli. Źródła nie opisują obejścia zamykającego lukę bez aktualizacji. Poniższe miary ograniczają ryzyko i skutki. Oceny efektywności to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Odcięcie interfejsu zarządzania od internetu (zalecenie CERT Polska) | Wysoka wobec ataków z internetu | Średnia |
Wymiana kluczy tokenów oraz poświadczeń RADIUS i VPN | Wysoka: odbiera napastnikowi to, co mógł wykraść | Średnia |
Dostęp do panelu tylko z zaufanej sieci zarządczej | Wysoka | Średnia |
Zbieranie logów poza urządzeniem | Niska jako ochrona, kluczowa do wykrycia (napastnik czyści lokalne logi) | Średnia |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja oprogramowania | Sprzed progu dla modelu | Naprawiona dla danego modelu |
Dostęp do zarządzania | Z internetu | Tylko z zaufanej sieci |
Klucze i poświadczenia | Możliwe, że wykradzione | Wymienione, stare unieważnione |
Logi | Tylko na urządzeniu (można je usunąć) | Zbierane też poza urządzeniem |
Założenie o stanie | „Skoro nic nie widać, jest dobrze” | Niezałatane urządzenie z internetu traktowane jak przejęte |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA); ocena SSVC: wykorzystanie aktywne, atak automatyzowalny |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | Brak potwierdzenia (CISA: Unknown) |
Ocena CVSS | 10.0 KRYTYCZNA wg HackerOne (CVSS 3.1); potwierdzona przez ENISA; NVD bez własnej oceny |
PoC dostępny publicznie? | Brak informacji o publicznym kodzie; CERT Polska podaje wskaźniki ataku (ścieżki i wzorce żądań) |
Liczba atakowanych firm | Brak publicznych informacji |
Łańcuch i kolejne luki | Działa z CVE-2026-34909 i CVE-2026-34910; aktualizacja nie usuwa CVE-2026-47369 i CVE-2026-47370 |
Prognoza EPSS | 0,852 przy percentylu 0,997 (23 sierpnia 2026, wg analizy źródłowej) |
CERT Polska zaleca traktować każdą wystawioną do internetu, niezałataną zaraz po poprawce instancję jako skompromitowaną. Napastnik z uprawnieniami administratora może usunąć lokalne logi, więc brak śladów na urządzeniu nie jest dowodem, że nic się nie stało.
Sygnały zagrożenia dla CVE-2026-34908
CVSS 3.1 (HackerOne) 10.0/10 ████████████████████ KRYTYCZNA
EPSS 0,852 █████████████████░░░ BARDZO WYSOKIE
CISA KEV TAK ████████████████████ ataki potwierdzone
Automatyzacja (CISA) TAK ████████████████████ możliwa
Łańcuch 3 luk TAK ████████████████████ pełna kontrola 2026-05-22 Ocena SSVC CISA: wykorzystanie aktywne (znacznik)
2026-06-09 CERT Polska publikuje komunikat o łańcuchu trzech luk
2026-06-10 Publikacja kolejnych luk CVE-2026-47369 i CVE-2026-47370
2026-06-23 CISA dodaje CVE-2026-34908, 34909 i 34910 do katalogu KEV
2026-06-26 Termin naprawy wg CISA (3 dni)
2026-07-23 Ostatnia aktualizacja wpisu w NVD
2026-09-17: TUTAJ JESTEŚMY Biuletyn bezpieczeństwa Ubiquiti: community.ui.com (Security Advisory Bulletin 064) . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2026-34908 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, jakie urządzenia UniFi ma firma i czy są dostępne z internetu | CTO | DZISIAJ |
2 | Uzyskać pisemnie zestawienie par model i wersja dla każdego urządzenia | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, odcięcie od internetu i wymianę kluczy oraz poświadczeń | CTO | DZISIAJ |
4 | Zlecić potraktowanie niezałatanych urządzeń z internetu jako potencjalnie przejętych i ich analizę | CTO | DO JUTRA |
5 | Zarezerwować budżet na analizę powłamaniową, jeśli przegląd coś wykaże | CFO | DO JUTRA |
6 | Sprawdzić, czy VPN i dostęp do sieci opierały się na poświadczeniach z tego urządzenia | CTO | DO JUTRA |
7 | Zlecić konfigurację zbierania logów poza urządzeniami brzegowymi | CTO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jakie urządzenia UniFi mamy i w jakich wersjach (para model i wersja)? | [lista] | 🔴 |
2 | Czy interfejs zarządzania UniFi jest dostępny z internetu? | TAK / NIE | 🔴 |
3 | Czy każde urządzenie ma wersję naprawioną właściwą dla swojego modelu? | TAK / NIE | 🔴 |
4 | Czy wymieniliśmy klucze tokenów oraz poświadczenia RADIUS i VPN po aktualizacji? | TAK / NIE, [data] | 🔴 |
5 | Czy któreś urządzenie stało niezałatane i dostępne z internetu po wydaniu poprawki? | TAK / NIE | 🟠 |
6 | Czy przejrzeliśmy ruch i logi (spoza urządzenia) pod kątem wskazanych wzorców żądań? | TAK / NIE, [data] | 🟠 |
7 | Czy zbieramy dzienniki z urządzeń brzegowych na osobny serwer? | TAK / NIE | 🟡 |
CVE-2026-34908 to jedno z trzech ogniw łańcucha, który daje pełną kontrolę nad urządzeniami Ubiquiti UniFi, dostęp do kluczy logowania oraz poświadczeń RADIUS i VPN, a atak jest potwierdzony. Poprawki są dostępne (różne progi dla różnych modeli), termin CISA minął 26 czerwca 2026 roku, więc aktualizacja, odcięcie od internetu i wymiana kluczy to zadania na dziś, a niezałatane urządzenia z internetu należy uznać za przejęte.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w systemach PLM firmy PTC pozwala bez logowania przejąć serwer. Grupa Cl0p wykorzystuje ją do kradzieży dokumentacji produktów i szantażu. Zainstaluj poprawki i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.