Wichtige Informationen zu den aktuellen UniFi OS Sicherheitslücken: Ubiquiti schließt fünf Schwachstellen (CVSS bis 9,9), die Codeschmuggel und Rechteausweitung erlauben. Betroffene Geräte, CVEs und Patch-Versionen – hier im Überblick.
Ubiquiti hat mit „Security Advisory Bulletin 065“ (Juni 2026) fünf Schwachstellen in UniFi OS und im UID Enterprise Agent offengelegt. Drei davon gelten als kritisch mit einem CVSS-Wert von 9,9 und erlauben das Einschleusen von Befehlen (Command Injection) sowie die Ausweitung von Rechten. Betroffen sind zentrale Netzwerkkomponenten wie Dream Machines, Cloud Gateways, Cloud Keys, Network Video Recorder und der UniFi OS Server. Aktualisierte Software steht bereit.
Die wichtigste Maßnahme: zeitnah auf UniFi OS 5.1.15 (bzw. 5.1.16 für UNAS), Express 4.0.15 und UID Enterprise Agent 1.61.4 aktualisieren.
Die neue UniFi OS Sicherheitslücke betrifft praktisch das gesamte Geräteportfolio von Ubiquiti, das in vielen kleinen und mittelständischen Unternehmen die Rolle von Firewall, Router, WLAN-Controller und Videoüberwachungs-Backend übernimmt.
Weil diese Geräte am Übergang zwischen Internet und internem Netz oder im Netzwerkkern sitzen, wiegen Schwachstellen mit Codeausführung hier besonders schwer.
UniFi OS ist das Betriebssystem, das auf Ubiquitis Netzwerk- und Sicherheits-Appliances läuft: auf Gateways (UniFi Dream Machine, Cloud Gateway), auf Verwaltungsgeräten (Cloud Key) sowie auf Aufzeichnungsgeräten für Kameras (Network Video Recorder, NVR).
Für Unternehmen bedeutet das:
Ein einziges Gerät steuert häufig Routing, Firewall-Regeln, WLAN, VPN-Zugänge und teilweise die Videoüberwachung. Wird ein solches Gerät kompromittiert, steht einem Angreifer potenziell der gesamte Netzwerkverkehr offen. Genau hier setzen die jetzt gemeldeten Schwachstellen an.
Ubiquiti listet die Lücken in einer eigenen Sicherheitsmitteilung auf. Drei davon sind als **kritisch** eingestuft, zwei als **hoch**. Die folgende Tabelle gibt den technischen Kern wieder:
Die drei kritischen Einträge teilen denselben CVSS-Vektor: Sie sind über das Netzwerk erreichbar (`AV:N`), haben eine niedrige Angriffskomplexität (`AC:L`), setzen lediglich **geringe Berechtigungen** voraus (`PR:L`) und benötigen keine Nutzerinteraktion (`UI:N`). Der Wert von 9,9 statt der vollen 10,0 ergibt sich aus dem geänderten Wirkungsbereich (`S:C`): Der Angriff kann über die ursprünglich betroffene Komponente hinaus wirken. Vertraulichkeit, Integrität und Verfügbarkeit sind jeweils vollständig beeinträchtigt (`C:H/I:H/A:H`).
Warum Command Injection, Path Traversal und die unzureichende Zugriffskontrolle so gefährlich sind:
Command Injection (CVE-2026-47367 und CVE-2026-47370) entsteht, wenn eine Anwendung von außen entgegengenommene Eingaben nicht ausreichend prüft und diese letztlich an eine Shell oder einen Systemaufruf weiterreicht. Ein Angreifer kann seine Eingabe so präparieren, dass Teile davon nicht als Daten, sondern als Betriebssystembefehle interpretiert werden. Die Befehle laufen dann mit den Rechten des betroffenen Prozesses – auf einem Gateway oder NVR bedeutet das im ungünstigsten Fall vollständige Kontrolle über das Gerät.
Path-Traversal-Lücke (CVE-2026-47368) beruht darauf, dass Eingaben beim Zusammensetzen von Dateipfaden nicht sauber gefiltert werden. Mit Sequenzen wie `../` lässt sich der vorgesehene Wurzelpfad verlassen, sodass beliebige Dateien des darunterliegenden Systems gelesen werden können – etwa Konfigurationsdateien, Protokolle oder Zugangsdaten. Diese Lücke ist gesondert hervorzuheben: Laut Advisory benötigt sie **keine** Berechtigungen (`PR:N`) und kann mit anderen Schwachstellen verkettet werden, um die Voraussetzung niedriger Rechte für die kritischen Lücken zu umgehen. In der Praxis kann eine solche Verkettung den Weg von einem unauthentifizierten Zugriff bis zur Codeausführung verkürzen.
CVE-2026-48610 schließlich nutzt eine unzureichende Zugriffskontrolle, um unter bestimmten Netzwerkkonfigurationen unbefugte Änderungen vorzunehmen. Sie hat eine höhere Angriffskomplexität (`AC:H`) und ist damit etwas schwerer auszunutzen, bleibt aber durch die mögliche Manipulation der Konfiguration relevant.
Wichtig für die technische Einordnung:
Ubiquiti macht keine Angaben dazu, ob die Lücken bereits aktiv ausgenutzt werden, und es ist zum jetzigen Zeitpunkt kein öffentlicher Exploit-Code bekannt.
Allerdings sind Netzwerk-Appliances ein bevorzugtes Ziel automatisierter Angriffe – Botnetze wie Mirai haben in der Vergangenheit gezielt nach verwundbaren IoT- und Netzwerkgeräten gesucht, um sich dauerhaft einzunisten. Die niedrige Einstiegshürde der kritischen Lücken macht sie zu einem attraktiven Kandidaten für eine spätere Massenausnutzung.
Die Schwachstellen betreffen ein breites Spektrum an UniFi-OS-Geräten in den jeweils genannten oder älteren Versionen:
Da die Path-Traversal- und Zugriffskontroll-Lücken nicht zwingend Anmeldedaten voraussetzen, sollte jedes der genannten Geräte als betroffen behandelt werden, solange es nicht aktualisiert wurde.
Betroffen sind genau die Geräte, die das Unternehmensnetz absichern und verwalten.
Im schlimmsten Fall kann ein Angreifer Befehle ausführen, Konfigurationen ändern oder sensible Daten auslesen – mit der Folge von Datenabfluss, Betriebsunterbrechung, einem Brückenkopf für weitere Angriffe (etwa Ransomware) oder meldepflichtigen Vorfällen nach DSGVO und NIS-2.
Entscheidend ist: Korrigierte Software liegt bereits vor, und ein zeitnahes Update neutralisiert den Großteil des Risikos. Der Aufwand ist überschaubar – die eigentliche Gefahr liegt im Aufschieben.
Die drei kritischen Lücken CVE-2026-47367, CVE-2026-47369 und CVE-2026-47370 mit jeweils CVSS 9,9. Sie ermöglichen Command Injection beziehungsweise Rechteausweitung bei niedriger Angriffskomplexität.
Für die meisten UniFi-OS-Geräte auf 5.1.15, für UNAS auf 5.1.16, für Express auf 4.0.15, für den UniFi OS Server auf 5.1.15 und für den UID Enterprise Agent auf 1.61.4 – jeweils oder neuer.
Ubiquiti macht dazu keine Angaben, und es ist kein öffentlicher Exploit bekannt. Netzwerkgeräte sind jedoch ein häufiges Ziel automatisierter Angriffe, weshalb ein zügiges Update empfohlen wird.
Ja. Die Lücken setzen Netzwerkzugang voraus, nicht zwingend Zugriff aus dem Internet. Ein Angreifer im internen Netz – etwa über ein kompromittiertes Endgerät – könnte sie ebenfalls ausnutzen.
Die fünf Schwachstellen aus Bulletin 065 treffen mit dem UniFi-OS-Gerätekern eine besonders sensible Stelle der Infrastruktur – drei davon kritisch mit CVSS 9,9. Weil die Lücken nur geringe oder gar keine Berechtigungen voraussetzen und sich verketten lassen, sollte diese UniFi OS Sicherheitslücken nicht als gewöhnliches Routine-Update behandelt werden.
Wer betroffene Geräte zügig auf die bereitgestellten Fix-Versionen hebt, den Verwaltungszugriff sauber segmentiert und künftig die Security-Advisory-Bulletins systematisch verfolgt, reduziert das Risiko auf ein beherrschbares Maß.
Die zentrale Erkenntnis gilt für IT-Verantwortliche und Geschäftsführung gleichermaßen: Der größte Hebel ist Geschwindigkeit beim Patchen.
Vielen Dank für Ihre Rückmeldung!
Abonnieren Sie unseren Newsletter und erhalten Sie regelmäßig aktuelle Updates aus der IT-Welt.
