CVE-2026-34910
Ubiquiti UniFi OS Improper Input Validation Vulnerability
Beschreibung
CVE-2026-34910 ist eine KRITISCHE Command-Injection-Schwachstelle, die auf einer unsachgemäßen Eingabevalidierung beruht, Geräte mit Ubiquiti UniFi OS betrifft und den maximalen CVSS-3.1-Wert von 10.0 trägt. Da UniFi OS vom Angreifer bereitgestellte Eingaben nicht ordnungsgemäß validiert, kann ein Angreifer mit Netzwerkzugriff beliebige Betriebssystembefehle auf dem betroffenen Gerät einschleusen und ausführen — ganz ohne Authentifizierung oder Benutzerinteraktion. Eine erfolgreiche Ausnutzung von CVE-2026-34910 verschafft dem Angreifer die vollständige Kontrolle über das Gerät — Router, Gateways und Netzwerk-Videorekorder am Netzwerkrand — und ermöglicht Datendiebstahl, das Abfangen von Datenverkehr und die Nutzung des Geräts als Sprungbrett in das interne Netzwerk. Die Schwachstelle ist im Known-Exploited-Vulnerabilities-(KEV-)Katalog der CISA gelistet, und mit einem EPSS-Wert von 0,78555 (99,5. Perzentil) sowie einem öffentlichen Exploit-Bericht, der eine Ausnutzung durch das Mirai-Botnet in freier Wildbahn beschreibt, ist CVE-2026-34910 eine dringende, aktiv ausgenutzte Bedrohung, die das sofortige Patchen jedes UniFi-OS-Geräts erfordert.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| ui | unifi os server | < 5.0.8 |
| ui | unifi cloud gateway industrial firmware | < 5.1.12 |
| ui | unifi dream machine firmware | < 5.1.12 |
| ui | unifi dream machine pro firmware | < 5.1.12 |
| ui | unifi dream machine special edition firmware | < 5.1.12 |
| ui | unifi dream machine pro max firmware | < 5.1.12 |
| ui | enterprise fortress gateway firmware | < 5.1.12 |
| ui | unifi dream wall firmware | < 5.1.12 |
| ui | unifi dream router firmware | < 5.1.12 |
| ui | unifi dream router 7 firmware | < 5.1.12 |
| ui | unifi express 7 firmware | < 5.1.12 |
| ui | unifi network video recorder firmware | < 5.1.12 |
| ui | unifi network video recorder pro firmware | < 5.1.12 |
| ui | unifi network video recorder instant firmware | < 5.1.12 |
| ui | enterprise network video recorder firmware | < 5.1.12 |
| ui | unifi cloud gateway ultra firmware | < 5.1.12 |
| ui | unifi cloud gateway max firmware | < 5.1.12 |
| ui | unifi cloud gateway fiber firmware | < 5.1.12 |
| ui | unifi dream router 5g max firmware | < 5.1.12 |
| ui | enterprise network video recorder core firmware | < 5.1.12 |
Referenzen
- https://community.ui.com/releases/Security-Advisory-Bulletin-064-064/84811c09-4cf4-42ab-bd61-cc994445963b(Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-34910(US Government Resource)
- https://www.pwndefend.com/2026/06/09/cve-2026-34910-exploitation-itw-building-a-botnet-mirai/(Exploit, Third Party Advisory)
Schwachstellentyp
CWE-20: Unsachgemäße Eingabevalidierung
CVE-2026-34910 beruht auf CWE-20: UniFi OS empfängt Eingaben, überprüft aber nicht, ob diese vor der Verarbeitung dem erwarteten Format, der erwarteten Länge, dem erwarteten Typ oder Zeichensatz entsprechen. Da das Gerät nicht validierte, vom Angreifer kontrollierte Daten akzeptiert und in einen Kontext übergibt, in dem sie als Betriebssystembefehl interpretiert werden, kann ein nicht authentifizierter Netzwerkangreifer manipulierte Eingaben liefern, die das Programmverhalten verändern und eine Command Injection erreichen. Diese unsachgemäße Eingabevalidierung ist die Ursache, die einen alltäglichen Datenverarbeitungspfad in ein vollständiges Primitiv für Remote Code Execution verwandelt.
Mehr erfahren: CWE-20 — Unsachgemäße Eingabevalidierung
Auswirkungsanalyse
CVE-2026-34910 trägt den maximalen CVSS-3.1-Wert von 10.0 (KRITISCH) und ist aus der Ferne ohne physischen Zugriff ausnutzbar (Angriffsvektor NETWORK), mit geringer Komplexität und ohne besondere Voraussetzungen (Angriffskomplexität LOW), ohne Authentifizierung (Erforderliche Rechte NONE) und ohne Benutzerinteraktion (Benutzerinteraktion NONE). Der Scope ist Changed (geändert), das heißt eine Kompromittierung der verwundbaren UniFi-OS-Komponente kann Ressourcen darüber hinaus betreffen — der Angreifer kann das gesamte vom Gerät verwaltete Netzwerk erreichen und kontrollieren. Alle drei Auswirkungsmetriken sind HIGH: Ein Angreifer kann sensible Konfigurations- und Verkehrsdaten lesen (Vertraulichkeit), Geräte-Firmware, Regeln und Routing manipulieren (Integrität) und die Netzwerkkonnektivität vollständig stören oder lahmlegen (Verfügbarkeit). Mit einem EPSS-Wert von 0,78555 im 99,5. Perzentil ist eine Ausnutzung höchst wahrscheinlich und findet angesichts der KEV-Listung und der Berichte über Missbrauch durch das Mirai-Botnet in freier Wildbahn bereits statt — Organisationen mit betroffenen UniFi-OS-Geräten sollten CVE-2026-34910 als kritischen, zeitkritischen Notfall behandeln.
Exploit-Reifegrad
Öffentliche Exploit-Informationen für CVE-2026-34910 sind über pwndefend.com verfügbar, wo die aktive Ausnutzung in freier Wildbahn und die Nutzung der Schwachstelle zum Aufbau eines Mirai-Botnets aus kompromittierten UniFi-OS-Geräten dokumentiert wird. Die CISA hat die aktive Ausnutzung durch Aufnahme von CVE-2026-34910 in den Known-Exploited-Vulnerabilities-Katalog bestätigt, mit einer behördlichen Behebungsfrist zum 2026-06-26; der KEV-Ransomware-Status ist derzeit als Unknown gelistet, doch die Einbindung von Randgeräten in ein Botnet ist eine ernste und unmittelbare Bedrohung. Der EPSS-Wert von 0,78555 ordnet CVE-2026-34910 in das 99,5. Perzentil ein, was auf eine sehr hohe, nahezu sichere Wahrscheinlichkeit laufender Ausnutzungsaktivität hinweist. Organisationen sollten von aktiv laufenden Angriffen ausgehen und jedes betroffene UniFi-OS-Gerät unverzüglich patchen.
Behebung
- Sicherheitsupdate des Herstellers sofort einspielen. Gemäß der KEV-Handlungsanweisung der CISA Maßnahmen nach Ubiquitis Anweisungen umsetzen und die BOD-26-04-Patching-Vorgaben befolgen; kann keine Korrektur eingespielt werden, das exponierte Gerät außer Betrieb nehmen. Das Ubiquiti-Security-Advisory-Bulletin unter community.ui.com nennt das konkrete Update. Die behördliche Behebungsfrist war der 2026-06-26.
- Auf eine korrigierte Version aktualisieren. UniFi OS Server auf Version 5.0.8 oder neuer aktualisieren und die Firmware der betroffenen UniFi-Geräte (UniFi Dream Machine, Dream Machine Pro, Dream Router, Cloud Gateway, Enterprise Fortress Gateway, Network Video Recorder, Express 7 und verwandte Modelle) auf Firmware-Version 5.1.12 oder neuer aktualisieren.
- Netzwerkexposition einschränken. Sicherstellen, dass die UniFi-OS-Verwaltungsschnittstellen nicht aus dem Internet erreichbar sind; die Geräte hinter eine Firewall stellen, den Zugriff auf vertrauenswürdige Management-Netze beschränken und Remote-/Cloud-Zugriff deaktivieren, wo er nicht zwingend erforderlich ist, bis jedes Gerät gepatcht ist.
- Nach Kompromittierung suchen. Angesichts der bestätigten Ausnutzung durch das Mirai-Botnet in freier Wildbahn Geräte- und Netzwerk-Logs auf unerwartete ausgehende Verbindungen, unbekannte Prozesse, Konfigurationsänderungen und Anzeichen einer Botnet-Einbindung prüfen; Zugangsdaten zurücksetzen und jedes verdächtige Gerät neu aufsetzen, da eine Command Injection über einen einfachen Neustart hinaus persistieren kann.
- Eingabevalidierung langfristig härten. Als Defense-in-Depth-Maßnahme eine strikte, Allowlist-basierte Eingabevalidierung an allen Vertrauensgrenzen erzwingen und IoT-/Netzwerkgeräte von sensiblen internen Systemen segmentieren, damit ein einzelnes kompromittiertes Randgerät nicht als Sprungbrett durch die gesamte Umgebung genutzt werden kann.
Technische Details
CVE-2026-34910 ist eine Command-Injection-Schwachstelle in Ubiquiti UniFi OS, die aus einer unsachgemäßen Eingabevalidierung (CWE-20) entsteht: Das Gerät akzeptiert über das Netzwerk bereitgestellte Eingaben, ohne zu überprüfen, ob diese die für eine sichere Verarbeitung erforderlichen Eigenschaften besitzen, und übernimmt sie anschließend in einen Betriebssystembefehl-Kontext. Da die nicht validierten Daten interpretiert und nicht als inert behandelt werden, kann ein Angreifer Shell-Metazeichen oder Befehlssequenzen in die Eingabe einbetten, um aus dem vorgesehenen Kontext auszubrechen und beliebige Befehle mit den Rechten des Geräts auszuführen. Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H zeigt, dass der Angriff netzwerkbasiert und von geringer Komplexität ist, völlig ohne Authentifizierung auskommt und keine Benutzerinteraktion erfordert, während der geänderte Scope und die dreifache HIGH-Auswirkung widerspiegeln, dass eine Codeausführung auf einem Randnetzwerkgerät Vertraulichkeit, Integrität und Verfügbarkeit der von ihm geschützten Systeme kompromittiert. Diese Kombination aus einem nicht authentifizierten Netzwerkvektor und vollständiger Befehlsausführung führt zur maximalen Bewertung von 10.0 (KRITISCH).
Häufig gestellte Fragen
Wird CVE-2026-34910 aktiv ausgenutzt?
Ja. CVE-2026-34910 ist im Known-Exploited-Vulnerabilities-Katalog der CISA gelistet, was die aktive Ausnutzung in freier Wildbahn bestätigt, mit Behebungsfrist zum 2026-06-26. Ein öffentlicher Bericht auf pwndefend.com beschreibt, wie die Schwachstelle zum Aufbau eines Mirai-Botnets aus kompromittierten UniFi-OS-Geräten genutzt wird, und der EPSS-Wert von 0,78555 (99,5. Perzentil) weist auf eine sehr hohe Wahrscheinlichkeit fortlaufender Ausnutzung hin.
Welche Produkte sind von CVE-2026-34910 betroffen?
CVE-2026-34910 betrifft Geräte mit Ubiquiti UniFi OS. Dazu gehören UniFi OS Server vor Version 5.0.8 sowie Firmware vor 5.1.12 auf UniFi Dream Machine, Dream Machine Pro, Dream Machine Special Edition, Dream Machine Pro Max, Dream Wall, Dream Router, Dream Router 7, Dream Router 5G Max, Express 7, Cloud Gateway (Ultra, Max, Fiber, Industrial), Enterprise Fortress Gateway sowie den UniFi- und Enterprise-Network-Video-Recorder-Modellen.
Wie behebe ich CVE-2026-34910?
Spielen Sie Ubiquitis Sicherheitsupdate gemäß dem Hersteller-Advisory ein: Aktualisieren Sie UniFi OS Server auf 5.0.8 oder neuer und die Firmware betroffener Geräte auf 5.1.12 oder neuer. Beschränken Sie während des Patchens die Exposition der Verwaltungsschnittstellen, deaktivieren Sie unnötigen Remote-Zugriff und prüfen Sie die Logs auf Anzeichen einer Mirai-Botnet-Kompromittierung, wie im Abschnitt Behebung beschrieben.
Wie schwerwiegend ist CVE-2026-34910?
CVE-2026-34910 ist als KRITISCH mit dem maximalen CVSS-3.1-Wert von 10.0 eingestuft. Sie erlaubt eine nicht authentifizierte, aus der Ferne durchführbare Command Injection ohne Benutzerinteraktion mit voller HIGH-Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit bei geändertem Scope. Die Aufnahme in den KEV-Katalog, die bestätigte Ausnutzung durch das Mirai-Botnet und der EPSS-Wert im 99,5. Perzentil machen sie zu einer der höchstprioritären Schwachstellen, die sofort behoben werden müssen.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.