Kritieke lekken in Ubiquiti UniFi: updates nodig voor bijna hele productlijn

Ubiquiti heeft op 26 augustus 2026 een beveiligingsbulletin uitgebracht waarin het bedrijf waarschuwt voor 22 kwetsbaarheden in zijn UniFi-productlijn. Eenentwintig daarvan zijn als kritiek bestempeld. Dat meldt GBHackers, en wordt bevestigd door onder meer CyberNews en het Nederlandse Security.nl. Voor bedrijven die met UniFi-apparatuur hun kantoornetwerk, wifi of camerasysteem regelen, is dit een update die niet kan wachten.

Wat er mis is met UniFi

Het gaat om Security Advisory Bulletin 067, alweer een in een reeks waarschuwingen die Ubiquiti dit jaar publiceerde over zijn UniFi-lijn. Van de 22 gemelde kwetsbaarheden hebben er drie de hoogst mogelijke ernst: CVE-2026-77537, CVE-2026-77550 en CVE-2026-77554, elk met een CVSS-score tussen 9,9 en 10 op een schaal van 10. Alle drie zijn op afstand te misbruiken, zonder dat een aanvaller hoeft in te loggen of dat een gebruiker ergens op moet klikken. Genoeg is een aanvaller die het kwetsbare apparaat over het netwerk kan bereiken.

CVE-2026-77537 zit in de UniFi Protect-applicatie, de software achter Ubiquiti's beveiligingscamera's, en laat een aanvaller door onvoldoende invoervalidatie commando's uitvoeren op het onderliggende apparaat. Het treft versies tot en met 7.1.87 en is verholpen in versie 7.2.105. CVE-2026-77550 zit in UniFi OS zelf en laat een aanvaller de inlogcontrole omzeilen door misbruik te maken van de manier waarop het systeem CRLF-tekens verwerkt. CVE-2026-77554 tenslotte zit in UniFi Talk, de voip-tak van Ubiquiti, en maakt eveneens het op afstand uitvoeren van commando's mogelijk, in versies tot en met 5.2.7, opgelost in 5.3.2.

Bijna de hele productlijn getroffen

Wat dit bulletin onderscheidt van eerdere UniFi-waarschuwingen is de breedte. Naast UniFi OS, Protect en Talk noemt Ubiquiti ook UniFi Access, de UniFi Network-applicatie, UniFi Connect en een reeks routers, gateways, recorders en opslagapparaten als getroffen. Security.nl meldt dat de kwetsbaarheden zowel in de UniFi OS Server zelf zitten als in de applicaties die daarbovenop draaien, verspreid over vrijwel het volledige assortiment van het bedrijf.

Wat een aanvaller ermee kan

Met deze lekken kan een aanvaller in het ergste geval volledige controle krijgen over een netwerkapparaat: commando's uitvoeren, de inlogcontrole omzeilen en rechten verhogen tot beheerderniveau. Bij een UniFi Protect-installatie betekent dat toegang tot camerabeelden, bij UniFi OS toegang tot het beheer van het hele netwerk. Omdat dit soort apparaten vaak de ruggengraat vormen van een kantoornetwerk, met daarachter werkstations, printers en soms ook een kassasysteem, kan een aanvaller die eenmaal binnen is zich van daaruit verder over het netwerk verplaatsen.

Wat je nu moet doen

Beheer je zelf UniFi-apparatuur, of laat een IT-partij dat voor je doen, controleer dan per apparaat welke firmwareversie er draait. Ubiquiti heeft voor alle getroffen producten al updates beschikbaar gesteld via de UniFi-controller of het Ubiquiti-portaal. Kun je niet overal in één keer updaten, zorg er dan in elk geval voor dat beheerinterfaces zoals die van UniFi OS niet rechtstreeks vanaf het publieke internet bereikbaar zijn, maar alleen via een vpn of vanaf het interne netwerk.

Wat dit betekent voor jouw bedrijf

Veel MKB-bedrijven hebben ergens in de serverruimte of meterkast een UniFi-router of -accesspoint hangen zonder dat iemand structureel bijhoudt of de firmware nog actueel is. Precies daar kunnen dit soort lekken lang onopgemerkt blijven. Laat je jouw website of hosting al door ons beheren, dan kijken we bij website-onderhoud en beheer breder dan alleen de website zelf en wijzen we je op dit soort risico's zodra ze spelen. Draai je liever alles op eigen infrastructuur, dan blijft het volledig jouw eigen verantwoordelijkheid om dit soort bulletins bij te houden, iets waar juist kleinere bedrijven weleens doorheen glippen. Meer beveiligingsnieuws lees je op onze nieuwspagina.

Bron: GBHackers, met aanvullende berichtgeving door Security.nl en CyberNews.