A Ubiquiti divulgou o Boletim de Segurança 066 revelando 25 vulnerabilidades em seu ecossistema UniFi, incluindo uma falha de injeção de comandos com pontuação CVSS 10.0 que é explorável sem autenticação.
Descoberta e escopo
O boletim de segurança da Ubiquiti detalha vulnerabilidades críticas em produtos UniFi Connect, UniFi Talk, UniFi Access e UniFi Protect. A falha mais grave, CVE-2026-50746, permite execução remota de código sem qualquer autenticação.
Vetor e exploração
Além da injeção de comandos, as vulnerabilidades incluem SQL injection, SSRF e falhas de controle de acesso. Várias outras falhas críticas pontuaram 9.9 no CVSS, afetando múltiplos componentes do ecossistema UniFi.
Impacto e alcance
Considerando a ampla adoção de soluções UniFi em redes empresariais e de pequeno porte, o impacto potencial é significativo. Organizações que utilizam produtos UniFi para gerenciamento de rede, telefonia e segurança física estão potencialmente expostas.
Medidas de mitigação recomendadas
Administradores devem aplicar patches imediatamente após disponibilidade, revisar configurações de acesso aos dispositivos UniFi e implementar segmentação de rede para limitar o blast radius em caso de comprometimento.
O que os CISOs devem fazer imediatamente
Realizar inventário de todos os dispositivos UniFi na infraestrutura, priorizar atualização dos sistemas mais críticos, revisar logs de acesso e considerar isolamento temporário de dispositivos não atualizados até aplicação dos patches.