UniFi OS: CISA מוסיפה לקטלוג שלוש חולשות בציון 10, שמנוצלות בפועל
ב-23 ביוני 2026 הוסיפה CISA לקטלוג החולשות המנוצלות שלוש חולשות ב-UniFi OS של Ubiquiti. יחד הן מאפשרות לתוקף ברשת להריץ פקודות עם הרשאות root, בלי סיסמה.
TL;DR בקצרה
- CVE-2026-34908, CVE-2026-34909 ו-CVE-2026-34910 נוספו ל-KEV ב-23 ביוני 2026, וכל אחת בציון CVSS 10.
- לפי Bishop Fox, השרשרת עוקפת את ההזדהות, מחדירה פקודה ומגיעה להרשאות root.
- Ubiquiti פרסמה תיקון ב-21 במאי. בשרת UniFi OS Server הגרסה המתוקנת היא 5.0.8 ומעלה.
- משתמשים דיווחו על מנהלים מזויפים בשם John Sim, ו-Beazley Security קושרת פעילות לבוטנט Mirai/Gaafgyt.
CISA הוסיפה ב-23 ביוני 2026 שלוש חולשות ב-UniFi OS של Ubiquiti לקטלוג החולשות המנוצלות. לכל אחת מהן ציון חומרה של 10 מתוך 10. יחד הן מאפשרות לתוקף ברשת להריץ פקודות על הקונסולה, עם הרשאות root, בלי סיסמה. Ubiquiti פרסמה תיקון כבר ב-21 במאי. מי שלא עדכן עלול להיות חשוף.
UniFi OS: שלוש חולשות בקטלוג KEV
UniFi OS היא מערכת ההפעלה של קונסולות הניהול של Ubiquiti. קונסולה כזו מנהלת ציוד רשת, מצלמות ודלתות. לכן פריצה אליה חמורה מפריצה למחשב בודד.
CISA ציינה את שלוש החולשות בשמן. CVE-2026-34908 היא שליטה לא תקינה בגישה, CVE-2026-34909 היא חציית נתיבים, ו-CVE-2026-34910 היא בדיקת קלט לקויה. לפי SecurityWeek, לכל שלוש ציון CVSS של 10.
גופים פדרליים בארה״ב קיבלו שלושה ימים לתיקון, עד 26 ביוני, לפי הנחיית BOD 26-04. ההנחיה חלה רק עליהם. אבל CISA מכניסה לקטלוג רק חולשות שיש ראיות לניצול שלהן, ולכן גם עסקים רגילים צריכים לבדוק את הציוד.
איך שרשרת החולשות ב-UniFi OS מגיעה להרשאות root
חוקרי Bishop Fox פרסמו ב-5 ביוני ניתוח של השרשרת. השלב הראשון הוא עקיפת הזדהות. לפי הניתוח, שער ההזדהות ב-nginx מחליט אם בקשה ציבורית לפי הכתובת הגולמית. אבל הוא מנתב אותה לפי הכתובת המנורמלת.
בקשה שמתחילה בקידומת הפטורה מהזדהות עוברת את השער. אחר כך היא מגיעה לשירות פנימי שמניח שההזדהות כבר קרתה.
בשלב השני התוקף מגיע לפונקציית עדכון החבילות. היא מעבירה שם חבילה, בלי לבדוק אותו, אל פקודת מעטפת. כך אפשר להחדיר פקודה. בשלב השלישי חשבון השירות שמריץ את הפקודה יכול להפעיל dpkg בלי סיסמה. הוא מתקין חבילה שמריצה קוד כ-root.
ב-Bishop Fox אימתו את השרשרת עד מעטפת root בגרסה 5.0.6, ואת התיקון בגרסה 5.0.8. לדבריהם, root על הקונסולה חושף סודות שמורים ומאפשר לזייף טוקנים של בעל החשבון. הוא גם משפיע על ציוד רשת, דלתות ומצלמות.
מה ידוע על הניצול בפועל
ההתראה של Ubiquiti לא מזכירה ניצול בשטח. אבל משתמשים בפורומים של Ubiquiti וב-Reddit דיווחו על חשבונות מנהל מזויפים בשם John Sim. לפי SecurityWeek, הפעילות נראית כסריקה אוטומטית.
חברת Beazley Security מדווחת על ניצול בשטח, ומקשרת חלק מהפעילות לבוטנט Mirai/Gaafgyt. הקישור מבוסס על נתוני כתובות IP, לא על ממצאים במכשירים. Ubiquiti לא פרסמה סימני פריצה. תוקף עם root גם יכול למחוק יומנים, ולכן היומנים במכשיר עצמו אינם ראיה אמינה.
מרכז הסייבר הבלגי מזהיר, כך לפי SecurityWeek, שקונסולות UniFi OS משולבות באופן מרכזי ברשת. לכן פריצה אליהן עלולה לאפשר תנועה רוחבית לתוך הרשת הארגונית.
מה זה אומר עבורכם
- בדקו גרסה: בשרת UniFi OS Server צריך 5.0.8 ומעלה. לפי Bishop Fox, המצטטת את Ubiquiti, ברוב ה-Cloud Gateways, ה-Dream Machines וה-NVRs צריך 5.1.12 ומעלה. בדקו את הדגם שלכם בהתראה של Ubiquiti.
- סגרו את הממשק לאינטרנט: בשרת UniFi OS Server ממשק הניהול מאזין כברירת מחדל ל-TCP 11443. אל תחשפו אותו החוצה. Beazley ממליצה להשתמש ב-Remote Site Management של Ubiquiti.
- חפשו סימנים: בדקו מנהלים לא מוכרים, כמו John Sim. בדקו גם אם התוקף הפעיל SSH או שינה את סיסמת root.
- הניחו פריצה אם הקונסולה הייתה חשופה: עדכון לבדו לא מסלק תוקף שכבר נכנס. החליפו סודות, נתקו התחברויות והחליפו את מפתח ה-JWT. אחרי חשד לניצול, בנו את הקונסולה מחדש מתמונה נקייה.
- לצוותי IT: Bishop Fox פרסמה כלי בדיקה בטוח ב-GitHub בשם CVE-2026-34908-check.
מקורות והרחבה
- CISA Adds Four Known Exploited Vulnerabilities to CatalogCISA
- Ubiquiti UniFi OS Vulnerabilities Under Active ExploitationSecurityWeek
- Popping Root on UniFi OS Server: Unauthenticated RCE Chain, Detection and AnalysisBishop Fox
- Critical UniFi OS Vulnerabilities (CVE-2026-34908, CVE-2026-34909, CVE-2026-34910)Beazley Security
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
