Alerta de seguridad
Nivel de peligrosidad: Crítico
Descripción
Se han identificado múltiples vulnerabilidades críticas en dispositivos que ejecutan Ubiquiti UniFi OS, específicamente:
- CVE-2026-34908 (Control de acceso inadecuado)
- CVE-2026-34909 (Path Traversal)
- CVE-2026-34910 (Validación incorrecta de entrada / posible inyección de comandos)
Estas vulnerabilidades permiten a un atacante con acceso a la red:
- Realizar acciones no autorizadas en el sistema
- Acceder a archivos restringidos del sistema operativo
- En ciertos escenarios, ejecutar comandos en el dispositivo afectado
Las vulnerabilidades han sido incluidas en el catálogo Known Exploited Vulnerabilities (KEV) de CISA, confirmando explotación activa en entornos reales.
Recursos afectados
Afecta a múltiples dispositivos que ejecutan UniFi OS, incluyendo:
- UniFi OS Server ≤ 5.0.6
- UDM / UDM Pro / UDM SE / UDM Pro Max ≤ 5.0.16
- UCG (Cloud Gateway) ≤ 5.0.16–5.1.12
- UNVR y variantes ≤ 5.1.11–5.1.12
- Cloud Key y dispositivos UniFi OS compatibles
Solución/Mitigación
Se debe actualizar UniFi OS a versiones corregidas:
- ≥ 5.0.8 (Server)
- ≥ 5.1.12 (Consolas y gateways)
En caso de no poder aplicarse el parche se recomienda:
- Aplicar parches oficiales del Security Advisory Bulletin 064 de Ubiquiti
- Restringir acceso a interfaces de administración:
- No exponer a Internet
- Usar redes de gestión separadas (VLAN)
- Activar MFA en cuentas administrativas
Indicadores de compromiso
No existen IoCs públicos específicos confirmados, pero se recomienda monitorear:
- Creación de cuentas administrativas no autorizadas
- Cambios en configuración de firewall o VPN
- Accesos al panel UniFi desde IPs desconocidas
- Modificaciones en reglas o configuraciones sin auditoría
- Actividad administrativa fuera de horario habitual
Recomendaciones
- Aplicar parches de forma inmediata
- Revisar logs de administración y autenticación
- Auditar cuentas privilegiadas en UniFi OS
- Segmentar red de administración
- Monitorear cambios de configuración en tiempo real
- Ejecutar revisión forense si hay sospecha de compromiso