CVE-2026-34908
Ubiquiti UniFi OS Improper Access Control Vulnerability
Beschreibung
CVE-2026-34908 ist eine kritische Schwachstelle durch unsachgemäße Zugriffskontrolle in Ubiquiti UniFi OS, dem Betriebssystem, das UniFi-Gateways, Dream Machines und Network Video Recorder antreibt. Mit dem maximalen CVSS-3.1-Wert von 10.0 erlaubt die Lücke einem böswilligen Akteur mit Zugriff auf das Netzwerk, ohne jede Authentifizierung unautorisierte Änderungen am betroffenen System vorzunehmen. Da UniFi-OS-Geräte am Rand des Netzwerks sitzen und Routing, Firewalling und Videoüberwachung steuern, kann die Ausnutzung dieser Schwachstelle durch unsachgemäße Zugriffskontrolle einem Angreifer die vollständige Kontrolle über kritische Netzwerkinfrastruktur verschaffen. CVE-2026-34908 ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA mit Frist zum 2026-06-26 gelistet, und ein Bericht über Ausnutzung in freier Wildbahn unterstreicht, dass diese UniFi-OS-Schwachstelle sofortiges Patchen erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ui | unifi os server | < 5.0.8 |
| ui | unifi cloud gateway industrial firmware | < 5.1.12 |
| ui | unifi dream machine firmware | < 5.1.12 |
| ui | unifi dream machine pro firmware | < 5.1.12 |
| ui | unifi dream machine special edition firmware | < 5.1.12 |
| ui | unifi dream machine pro max firmware | < 5.1.12 |
| ui | enterprise fortress gateway firmware | < 5.1.12 |
| ui | unifi dream wall firmware | < 5.1.12 |
| ui | unifi dream router firmware | < 5.1.12 |
| ui | unifi dream router 7 firmware | < 5.1.12 |
| ui | unifi express 7 firmware | < 5.1.12 |
| ui | unifi network video recorder firmware | < 5.1.12 |
| ui | unifi network video recorder pro firmware | < 5.1.12 |
| ui | unifi network video recorder instant firmware | < 5.1.12 |
| ui | enterprise network video recorder firmware | < 5.1.12 |
| ui | unifi cloud gateway ultra firmware | < 5.1.12 |
| ui | unifi cloud gateway max firmware | < 5.1.12 |
| ui | unifi cloud gateway fiber firmware | < 5.1.12 |
| ui | unifi dream router 5g max firmware | < 5.1.12 |
| ui | enterprise network video recorder core firmware | < 5.1.12 |
Referenzen
- https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34908(US Government Resource)
- https://www.pwndefend.com/2026/06/09/cve-2026-34910-exploitation-itw-building-a-botnet-mirai/(Exploit, Third Party Advisory)
Schwachstellentyp
CWE-284: Unsachgemäße Zugriffskontrolle
CVE-2026-34908 beruht auf CWE-284: UniFi OS schränkt den Zugriff auf eine Ressource durch einen unautorisierten Akteur nicht ordnungsgemäß ein. Da die betroffenen UniFi-OS-Geräte nicht korrekt durchsetzen, wer sensible Operationen ausführen darf, kann ein unauthentifizierter Angreifer im Netzwerk die vorgesehene Autorisierungsgrenze umgehen und unautorisierte Änderungen am System vornehmen — ein klassischer Zugriffskontrollfehler, den OWASP als seine Schwachstellenkategorie Nummer eins einstuft.
Mehr erfahren: CWE-284 — Unsachgemäße Zugriffskontrolle
Auswirkungsanalyse
CVE-2026-34908 weist den maximalen CVSS-3.1-Wert von 10.0 (CRITICAL) auf und ist aus der Ferne über das Netzwerk ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW), ohne Authentifizierung (erforderliche Rechte NONE) und ohne Benutzerinteraktion (User Interaction NONE). Eine erfolgreiche Ausnutzung führt zu HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit: Ein Angreifer kann sensible Konfigurationen und Daten auslesen, Geräteeinstellungen sowie Firewall- oder Routing-Regeln verändern und die Verfügbarkeit des Netzwerks und der Videoaufzeichnungsdienste stören. Entscheidend ist, dass der Scope CHANGED ist, was bedeutet, dass sich die Kompromittierung über die verwundbare UniFi-OS-Komponente hinaus auf andere Ressourcen im gesteuerten Netzwerk auswirken kann. Angesichts der durch die KEV-Listung bestätigten aktiven Ausnutzung und der strategischen Position von UniFi-OS-Geräten am Netzwerkperimeter sollten Organisationen mit betroffenen Versionen diese Schwachstelle durch unsachgemäße Zugriffskontrolle als Notfall behandeln.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-34908 durch Aufnahme in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer behördlichen Behebungsfrist zum 2026-06-26. Eine Drittanbieter-Analyse zur Ausnutzung von UniFi-OS-Geräten in freier Wildbahn — einschließlich ihrer Rekrutierung in ein Botnet vom Typ Mirai — ist öffentlich unter pwndefend.com verfügbar, was darauf hinweist, dass Angriffstechniken gegen diese Geräteklasse bereits dokumentiert sind und kursieren. Der EPSS-Wert von 0,02452 ordnet CVE-2026-34908 in das 82,4. Perzentil ein, was bedeutet, dass eine Ausnutzung wahrscheinlicher ist als bei der Mehrheit der CVEs; der KEV-Ransomware-Status ist derzeit als Unknown gelistet. Angesichts der bestätigten Ausnutzung und der maximalen CVSS-Bewertung von 10.0 sollten Organisationen von laufenden Angriffen ausgehen und sofort patchen.
Behebung
- Der KEV-Handlungsanweisung der CISA folgen. Maßnahmen gemäß den Anweisungen von Ubiquiti umsetzen und dabei die CISA-Vorgabe BOD 26-04 „Prioritizing Security Updates Based on Risk" sowie die CISA-„Forensics Triage Requirements" einhalten. Für Cloud-Dienste die geltende BOD-26-04-Vorgabe befolgen oder das Produkt außer Betrieb nehmen, falls keine Maßnahmen verfügbar sind; die KEV-Behebungsfrist war der 2026-06-26.
- Auf eine korrigierte Firmware-Version aktualisieren. UniFi OS Server auf Version 5.0.8 oder neuer aktualisieren und die Firmware von UniFi-Gateways, Dream Machines, Cloud Gateways, Express-Geräten und Network Video Recordern (einschließlich UniFi Dream Machine, Dream Machine Pro/SE/Pro Max, Dream Router, Cloud Gateway Ultra/Max/Fiber und Enterprise Fortress Gateway) auf Version 5.1.12 oder neuer bringen. Das Hersteller-Advisory unter community.ui.com konsultieren.
- Netzwerkzugriff einschränken und segmentieren. Bis alle Geräte gepatcht sind, den Verwaltungszugriff auf UniFi OS ausschließlich auf vertrauenswürdige Administrationsnetze beschränken, die Exposition von Management-Schnittstellen zum Internet unterbinden und diese Geräte hinter eine strikte Netzwerksegmentierung stellen, damit ein unauthentifizierter Akteur die verwundbaren Endpunkte nicht erreichen kann.
- Nach Anzeichen einer Kompromittierung suchen. UniFi-OS-Logs und Audit-Trails auf unerwartete Konfigurationsänderungen, neue oder veränderte Konten, geänderte Firewall-/Routing-Regeln und unbekannte administrative Aktivität prüfen — angesichts der bestätigten Ausnutzung in freier Wildbahn.
- Zugriffskontrolle langfristig härten. Das Prinzip der minimalen Rechtevergabe durchsetzen, Zugriff standardmäßig verweigern und explizite Gewährungen verlangen, die Autorisierung bei jeder Anfrage serverseitig validieren und die Zugriffskontrolllogik zentralisieren, damit die Autorisierung über alle UniFi-OS-Verwaltungsfunktionen hinweg konsistent durchgesetzt wird.
Technische Details
CVE-2026-34908 ist eine Schwachstelle durch unsachgemäße Zugriffskontrolle (CWE-284) in Ubiquiti UniFi OS, die entsteht, weil die Software den Zugriff auf sensible Operationen durch einen unautorisierten Akteur nicht ordnungsgemäß einschränkt. Zugriffskontrolle bestimmt, wer auf welche Ressourcen zugreifen kann und welche Aktionen ausgeführt werden dürfen; wenn diese Durchsetzung versagt, kann ein Angreifer, der das Gerät über das Netzwerk erreicht, privilegierte Funktionalität aufrufen und unautorisierte Änderungen am System vornehmen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff netzwerkbasiert und von geringer Komplexität ist, keine Rechte erfordert und keine Benutzerinteraktion benötigt, was zusammen mit einem CHANGED-Scope und HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit den maximalen CVSS-Wert von 10.0 ergibt. Diese Fehlerklasse gehört bei Netzwerk-Appliances zu den schwerwiegendsten, gerade weil eine einzige fehlende Autorisierungsprüfung die vollständige administrative Kontrolle über ein Edge-Gerät preisgibt.
Häufig gestellte Fragen
Wird CVE-2026-34908 aktiv ausgenutzt?
Ja. CVE-2026-34908 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt, mit Behebungsfrist zum 2026-06-26. Ein öffentlicher Drittanbieter-Bericht dokumentiert die Ausnutzung von UniFi-OS-Geräten in freier Wildbahn, und der EPSS-Wert von 0,02452 (82,4. Perzentil) weist auf eine erhöhte Ausnutzungswahrscheinlichkeit hin. Eine Ransomware-Beteiligung ist derzeit als Unknown gelistet.
Welche Produkte sind von CVE-2026-34908 betroffen?
Betroffen ist Ubiquiti UniFi OS über eine breite Gerätepalette hinweg: UniFi OS Server vor 5.0.8 sowie Firmware vor 5.1.12 für UniFi Dream Machine, Dream Machine Pro/SE/Pro Max, Dream Router, Dream Router 7, Dream Router 5G Max, Dream Wall, Express 7, Cloud Gateway Industrial/Ultra/Max/Fiber, Enterprise Fortress Gateway sowie die UniFi- und Enterprise-Network-Video-Recorder-Reihen. Administratoren sollten die Firmware-Version auf jedem UniFi-OS-Gerät überprüfen.
Wie behebe ich CVE-2026-34908?
Aktualisieren Sie UniFi OS Server auf 5.0.8 oder neuer und die betroffene Geräte-Firmware auf 5.1.12 oder neuer gemäß dem Ubiquiti-Hersteller-Advisory und der BOD-26-04-Patching-Vorgabe der CISA. Beschränken Sie während des Patchens den Verwaltungszugriff auf vertrauenswürdige Netze, halten Sie Management-Schnittstellen vom Internet fern und prüfen Sie die Logs auf unautorisierte Änderungen, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2026-34908?
CVE-2026-34908 ist als CRITICAL mit dem maximalen CVSS-3.1-Wert von 10.0 eingestuft. Sie erlaubt einem unauthentifizierten Netzwerkangreifer, ohne Benutzerinteraktion unautorisierte Änderungen am System vorzunehmen, und erreicht HIGH-Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit bei einem CHANGED-Scope. Die Aufnahme in den KEV-Katalog und der EPSS-Wert im 82,4. Perzentil machen sie zu einer Schwachstelle mit höchster Priorität für die sofortige Behebung.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.