Ubiquiti heeft beveiligingsupdates vrijgegeven om meerdere kritieke kwetsbaarheden in UniFi Connect, UniFi Talk, UniFi Access, UniFi Protect en UniFi OS te verhelpen. Deze lekken kunnen door een aanvaller met netwerktoegang worden misbruikt voor privilege-escalatie en het uitvoeren van willekeurige commando's op het getroffen apparaat.

De kwetsbaarheden omvatten onder meer een ernstige toegangsbeschermingsfout in UniFi Connect (CVE-2026-50746, CVSS 10.0) die command injection mogelijk maakt, en verschillende geauthenticeerde SQL-injectieproblemen in UniFi Talk (CVE-2026-50747, CVSS 9.9) waarmee privileges kunnen worden verhoogd. Ook in UniFi Access zijn kwetsbaarheden gevonden die command injection en privilege-escalatie toelaten (CVE-2026-50748 en CVE-2026-54400). UniFi Protect kampt met een Server-Side Request Forgery (SSRF) kwetsbaarheid (CVE-2026-55115) die lage privileges kan verhogen. Daarnaast zijn er in UniFi OS meerdere fouten in inputvalidatie en toegangsbescherming (CVE-2026-54402 en CVE-2026-55116) die misbruik mogelijk maken.

Hoewel er geen aanwijzingen zijn dat deze specifieke kwetsbaarheden al in het wild worden misbruikt, waarschuwde de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) vorige maand nog voor drie andere UniFi OS-kwetsbaarheden die wel actief werden geëxploiteerd. Daarnaast zijn Russische door de staat gesponsorde dreigingsactoren betrapt op het inzetten van gecompromitteerde Ubiquiti Edge OS-routers in een botnet, genaamd MooBot, dat in februari 2024 door wetshandhaving werd ontmanteld.

Gebruikers van UniFi-producten wordt geadviseerd de nieuwste softwareversies te installeren om de beveiligingslekken te dichten. Meer informatie over de updates is te vinden in het security advisory van Ubiquiti.