CISA varuje pred aktívne zneužívanými zraniteľnosťami Ubiquiti UniFi OS. Tri CVE umožňujú prevzatie siete — záplatu nasaďte do 26. júna 2026.
CISA zaradila tri zraniteľnosti Ubiquiti UniFi OS do svojho katalógu Known Exploited Vulnerabilities (KEV) a vydala varovanie, že minimálne jedna z nich je aktívne zneužívaná v reálnych útokoch. Federálnym agentúram aj prevádzkovateľom UniFi infraštruktúry bol stanovený termín na nasadenie záplat: 26. júna 2026, v súlade s Binding Operational Directive (BOD) 26-04.
Ubiquiti UniFi je široko rozšírená platforma pre správu sietí, ktorú využívajú tisíce organizácií vrátane malých a stredných podnikov v celej Európe.
Tri zraniteľnosti, ktoré možno reťaziť
Najzávažnejšia zraniteľnosť, CVE-2026-34908, spočíva v nesprávnom riadení prístupu v UniFi OS. Útočník s prístupom do siete môže bez autorizácie meniť konfiguráciu systému, deaktivovať bezpečnostné kontroly alebo manipulovať so sieťovým prenosom — a to bez nutnosti platných prihlasovacích údajov.
CISA zároveň upozornila na dve ďalšie zraniteľnosti, ktoré možno s CVE-2026-34908 reťaziť pre hlbší kompromis:
- CVE-2026-34909 — path traversal umožňujúci čítanie alebo manipuláciu so súbormi na systéme, čo môže viesť k prevzatiu účtu
- CVE-2026-34910 — nesprávna validácia vstupu umožňujúca injekciu príkazov a spustenie ľubovoľného kódu na zariadení
Hoci CISA zatiaľ nepotvrdila prepojenie s ransomvérovými kampaňami, klasifikuje status zneužitia CVE-2026-34910 ako „neznámy" a upozorňuje, že typ prístupu, ktorý tieto zraniteľnosti poskytujú, zodpovedá bežným technikám ransomvérových skupín.
Aký je reálny dopad
Po kompromitácii UniFi kontroléra alebo brány môžu útočníci:
- pivotovať do internej siete
- zbierať prihlasovacie údaje
- manipulovať so sieťovým prenosom
- podporiť krádeže dát alebo ďalšie deštruktívne útoky
Osobitne rizikové sú prostredia, kde je rozhranie UniFi management dostupné z nedôveryhodných sietí alebo priamo z internetu.
Čo robiť
CISA odporúča okamžité kroky v súlade s pokynmi výrobcu a BOD 26-04:
- Nasadiť záplaty podľa aktuálneho vendor guidance Ubiquiti — termín je 26. júna 2026
- Skontrolovať expozíciu — overiť, či je rozhranie UniFi management dostupné z internetu alebo nedôveryhodných sietí
- Obmedziť prístup k správcovskému rozhraniu len na dôveryhodné siete a VPN
- Zachovávať logy pre prípad potreby forenznej analýzy
- Pre cloud-hostované UniFi nasadenia postupovať podľa časti BOD 26-04 týkajúcej sa cloudových služieb, prípadne zvážiť dočasné odstavenie, ak záplata nie je dostupná včas
