CVE-2026-54402: Kritisk fejl i Ubiquiti UniFi OS

CVE-2026-54402 er en sårbarhed i UniFi OS, styresystemet der kører Ubiquitis netværks- og sikkerhedsudstyr, herunder Dream Machine, UniFi Cloud Gateway og Network Video Recorder. Fejlen skyldes mangelfuld validering af inddata (CWE-20), som gør det muligt at indsætte og udføre systemkommandoer direkte på enheden. Det kaldes en kommandoinjektion (CWE-77). En angriber, der allerede har netværksadgang og en bruger med lave rettigheder, kan udnytte fejlen til at få fuld kontrol over enheden. Der kræves ingen handling fra en bruger, og angrebet kan udføres uden at kende adgangskoder til administrator.

Sårbarheden rammer stort set hele Ubiquitis UniFi-produktfamilie, der kører UniFi OS 5.1.15 eller ældre, samt UNAS-enheder op til 5.1.16 og Enterprise Firewall Core op til 5.1.18. Det gælder Dream Machine (alle varianter inklusiv Pro, SE, Beast og Pro Max), UniFi Cloud Gateway (Ultra, Max, Industrial, Fiber), Cloud Key og Cloud Key Plus/Enterprise, Network Video Recorder (alle varianter inklusiv G2 og Enterprise), UNAS Pro-serien, Enterprise Fortress Gateway samt UniFi Dream Router og Wall. Det vil sige langt de fleste danske virksomheder, der bruger UniFi som firewall, switch-styring eller videoovervågning, er berørt.

En angriber, der får fodfæste på netværket, for eksempel via et kompromitteret gæstenetværk eller en medarbejders enhed, kan udnytte fejlen til at overtage selve gateway- eller overvågningsenheden. Herfra kan angriberen aflytte al netværkstrafik, ændre firewallregler, slette videooptagelser eller bruge enheden som springbræt videre ind i virksomhedens øvrige systemer. Fordi UniFi-enheder ofte styrer både internetadgang og fysisk sikkerhed, kan et fuldt kompromis ramme både it-drift og fysisk sikring af lokaler.

CVSS-score er 9,9 ud af 10, hvilket er kritisk. Angrebet kræver netværksadgang, men ikke fysisk adgang til enheden. Det kræver kun lave rettigheder (PR:L), ingen brugerinteraktion, og kompleksiteten er lav, så det er teknisk enkelt at udføre. Fordi angrebet kan påvirke andre systemer end det, angriberen først fik adgang til (scope changed), og fordi fortrolighed, integritet og tilgængelighed alle rammes fuldt ud, svarer det til fuld overtagelse af enheden. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i angreb på offentliggørelsestidspunktet.

Følgende trin lukker hullet og begrænser skaden, hvis I allerede er ramt.

1. Opdatér alle UniFi OS-enheder til den nyeste tilgængelige version via UniFi Network-applikationen eller enhedens administrationsside. Dette lukker sårbarheden.
2. Gennemgå, hvilke brugere og enheder der har adgang til jeres administrationsnetværk, og fjern konti, I ikke genkender.
3. Adskil administrationsnetværket for UniFi-enheder fra gæstenetværk og almindelige medarbejdernetværk, så en kompromitteret klient ikke kan nå gatewayen direkte.
4. Gennemse logfiler for usædvanlig administratoraktivitet eller nye kommandoer udført på enhederne, siden versionerne blev udgivet.
5. Slå to-faktor-godkendelse til på UniFi-konti, hvis det ikke allerede er gjort.
6. Er I i tvivl om, hvorvidt jeres UniFi-enheder allerede er kompromitteret, eller mangler I ressourcer til at gennemgå logfiler, så få hjælp fra en sikkerhedsrådgiver til en teknisk gennemgang.