Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-284

CVE-2026-34908

Ubiquiti UniFi OS cihazlarında kritik erişim kontrolü zafiyeti

Ubiquiti Inc EFGUbiquiti Inc ENVRUbiquiti Inc ENVR-Core

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
23 Tem 2026
Açık yaşı
159 gün
Kaydı açan
hackerone
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 23 Haz 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 26 Haz 2026.

Yönetici özeti

Ağ geçidi ve kayıt cihazı olarak kullanılan Ubiquiti UniFi OS ürünlerinde, ağa erişebilen herkesin cihazı yetkisiz yönetmesine izin verebilecek kritik bir açık var ve bu açık aktif olarak istismar ediliyor. Cihazların ağ altyapısının merkezinde yer alması nedeniyle ele geçirilmeleri iş sürekliliğini ve verilerin güvenliğini ciddi biçimde tehdit eder. Güncellemelerin vakit kaybetmeden uygulanması gerekir.

ÖzetTürkçe

UniFi OS çalıştıran Ubiquiti cihazlarında yanlış erişim kontrolü (CWE-284) zafiyeti bulunuyor. Ağa erişimi olan bir saldırgan kimlik doğrulaması ve kullanıcı etkileşimi olmadan sistemde yetkisiz değişiklik yapabiliyor. Etkilenen ürünler arasında UniFi OS Server, UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, UDM-Beast, EFG, UDW, UDR serisi, UNVR serisi, ENVR, UNAS serisi, UCK ve UCG serisi cihazlar yer alıyor. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) kataloğuna eklenmiştir.

Saldırgan ne yapabilir?

Saldırgan, kimlik doğrulaması olmadan cihaz üzerinde yetkisiz değişiklik yapabilir; gizlilik, bütünlük ve erişilebilirlik üzerinde yüksek etki ve etki alanı değişikliği söz konusudur (CVSS 10.0).

Kaynaktaki açıklama (İngilizce)

A malicious actor with access to the network could exploit an Improper Access Control vulnerability found in UniFi OS devices to make unauthorized changes to the system.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Cihazınızı üreticinin yayımladığı düzeltilmiş sürüme yükseltin: UniFi OS Server için 5.0.8; UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, UDR-5G, Express 7, UNVR, UNVR-Pro, UNVR-Instant, UNVR-G2, UNVR-G2-Pro, ENVR, ENVR-Core, UCKP, UCK, UCK-Enterprise, UCG-Ultra, UCG-Max, UCG-Fiber ve UCG-Industrial için 5.1.12; UDM-Beast için 5.1.11; UNAS-2, UNAS-4, UNAS-Pro, UNAS-Pro-4 ve UNAS-Pro-8 i… Üretici
  2. Güncelleme yapılana kadar cihazların yönetim arayüzlerine ağ erişimini yalnızca güvenilir yönetim istasyonlarıyla sınırlayın ve internetten erişimi kapatın. Genel öneri
  3. CISA yönergesi uyarınca üretici talimatlarına göre önlemleri uygulayın, her varlığın internete açıklık durumunu değerlendirin ve CISA'nın adli bilişim triyaj gereksinimlerine uyun. Önlem uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Zafiyet aktif olarak istismar edildiği için güncelleme öncesinde cihazların ele geçirilip geçirilmediğini kontrol edin: yetkisiz yapılandırma değişikliklerini, bilinmeyen yönetici hesaplarını ve olağan dışı bağlantıları inceleyin. Genel öneri

Ek önlemler

  • Yönetim arayüzlerini internete açmayın; yönetim için VPN veya ayrı bir yönetim ağı kullanın. Genel öneri
  • Cihaz yapılandırmasının güncel yedeğini alın ve yapılandırma değişikliklerini düzenli olarak denetleyin. Genel öneri
  • Ağ ve cihaz günlüklerini merkezi olarak izleyin, beklenmeyen yönetim erişimleri için uyarı tanımlayın. Genel öneri
  • Tüm UniFi OS cihazlarının envanterini tutun ve üretici güncellemelerini düzenli takip edin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler31 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Ubiquiti Inc EFG < 5.1.12 5.1.12
Ubiquiti Inc ENVR < 5.1.12 5.1.12
Ubiquiti Inc ENVR-Core < 5.1.12 5.1.12
Ubiquiti Inc Express 7 < 5.1.12 5.1.12
Ubiquiti Inc UCG-Fiber < 5.1.12 5.1.12
Ubiquiti Inc UCG-Industrial < 5.1.12 5.1.12
Ubiquiti Inc UCG-Max < 5.1.12 5.1.12
Ubiquiti Inc UCG-Ultra < 5.1.12 5.1.12
Ubiquiti Inc UCK < 5.1.12 5.1.12
Ubiquiti Inc UCK-Enterprise < 5.1.12 5.1.12
Ubiquiti Inc UCKP < 5.1.12 5.1.12
Ubiquiti Inc UDM < 5.1.12 5.1.12

ve 19 satır daha

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.