Opgelet: drie uitermate kritieke lekken ontdekt in Ubiquiti UniFi OS-apparaten
Dat er stront aan de knikker is, wordt wel bewezen door de CVSS-scores van drie van de vijf UniFi OS-lekken: die krijgen een 10 op 10. Dat is de hoogste score die uitgedeeld kan worden bij beveiligingslekken en benadrukt dat de aanval uiterst kritiek is én doorgaans ook makkelijk uitgebuit kan worden.
Wat is er aan de hand?
Wat de kritieke kwetsbaarheden betreft (CVE-2026-33000, CVE-2026-34908 en CVE-2026-34909), is bekend dat het om path traversal-, command injection- en improper access control-lekken gaat. Daarmee kunnen hackers toegang krijgen tot accounts op je Ubiquiti-systeem, direct ongeoorloofde aanpassingen doen en commando’s op je systeem uitvoeren.
Hoe de aanval precies uitgebuit kan worden, maakt Ubiquiti niet bekend. Ook zegt het bedrijf niet of de kwetsbaarheden in potentie al misbruikt zijn. In alle gevallen lijkt er evenwel sprake van een responsible disclosure: beveiligingsonderzoekers hebben de lekken bij Ubiquiti gemeld, waarna het team ze heeft onderzocht en gepatcht.
Nog meer lekken ontdekt
Via het UniFi-forum meldt Ubiquiti nog twee andere beveiligingslekken. De eerste (CVE-2026-33000) krijgt een CVSS-score van 9,1 en laat het toe om een Improper Input Validation-kwetsbaarheid uit te buiten en commando’s uit te voeren op het UniFi-toestel. De aanvaller moet dan wel met het netwerk verbonden zijn.
De laatste heeft een iets lagere CVSS-score van 7,1 (CVE-2026-34911). Die kwetsbaarheid is er eveneens een in de path traversal-categorie en maakt het mogelijk om UniFi-systemen te manipuleren om gevoelige data te stelen.
Update direct je apparatuur
Gebruikers wordt geadviseerd zo snel mogelijk hun apparaten te updaten. Welke UniFi OS-apparaten er precies getroffen zijn? Het gaat onder andere om de UniFi OS Server, UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR, UNVR-Pro, UNVR-Instant, ENVR, UCG-Ultra, UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4 en UNAS-Pro-8.
Op het UniFi-forum vind je per apparaatcategorie de juiste firmwareversie om naar te upgraden. Doe dit zo snel mogelijk om potentieel misbruik te voorkomen, zeker nu de kwetsbaarheden al bekend zijn.
