Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Aktif istismar
  • Yama var
  • CWE-22

CVE-2026-34909

Ubiquiti UniFi OS'te yol geçişi (path traversal) açığı: hesap ele geçirme riski

Ubiquiti Inc EFGUbiquiti Inc ENVRUbiquiti Inc ENVR-Core

Kritik 10,0 CVSS 3.1
Yayımlandı
Güncellendi
23 Tem 2026
Açık yaşı
159 gün
Kaydı açan
hackerone
Saldırılarda kullanılıyor CISA, bu açığın gerçek saldırılarda kullanıldığını doğruladı ve 23 Haz 2026 tarihinde KEV listesine ekledi. ABD kamu kurumlarına verilen son yama tarihi: 26 Haz 2026.

Yönetici özeti

Ağ altyapısını ve kamera ya da depolama sistemlerini yöneten Ubiquiti cihazlarında kritik bir güvenlik açığı var ve aktif olarak istismar edildiği bildirildi. Saldırgan ağa erişebiliyorsa cihazın kontrolünü ele geçirebilir. Güncellemelerin vakit kaybetmeden uygulanması gerekir.

ÖzetTürkçe

Ubiquiti UniFi OS çalıştıran cihazlarda bir yol geçişi (path traversal, CWE-22) zafiyeti bulunuyor. Ağa erişimi olan bir saldırgan, kimlik doğrulaması ve kullanıcı etkileşimi olmadan altta yatan sistemdeki dosyalara erişebilir. Bu dosyalar değiştirilerek alttaki bir hesaba erişim sağlanabilir. Etkilenenler arasında UniFi OS Server, UDM, UDM-Pro, UDM-SE, UDR, UNVR, UNAS, UCK, UCG serileri ve diğer birçok UniFi OS cihazı yer alıyor.

Saldırgan ne yapabilir?

Saldırgan cihazdaki dosyalara erişip bunları değiştirerek altta yatan bir hesabı ele geçirebilir. Bu durum gizlilik, bütünlük ve erişilebilirlik üzerinde tam etki yaratabilir (CVSS 10.0).

Kaynaktaki açıklama (İngilizce)

A malicious actor with access to the network could exploit a Path Traversal vulnerability found in UniFi OS devices to access files on the underlying system that could be manipulated to access an underlying account.

CISA'nın önerdiği eylem (İngilizce)

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

Ne yapmalı?

  1. Cihazınızı üretici tarafından yayımlanan düzeltilmiş sürüme güncelleyin: UniFi OS Server için 5.0.8, Express için 4.0.14, UDM-Beast için 5.1.11, UNAS serisi için 5.1.10; UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, UDR-5G, Express 7, UNVR serisi, ENVR serisi, UCK serisi ve UCG serisi için 5.1.12. Üretici
  2. CISA'nın gereği olarak üretici talimatlarına uygun şekilde azaltım önlemlerini uygulayın ve her varlığın internete açıklık durumunu değerlendirin. BOD 26-04 yama yönergelerine ve CISA'nın adli bilişim triyaj gereksinimlerine uyun. CISA
  3. Azaltım önlemleri uygulanamıyorsa ürünün kullanımını durdurun. CISA
  4. Güncelleme öncesinde cihazların ele geçirilmiş olabileceğini varsayın; yönetici hesaplarını, olağan dışı dosya değişikliklerini ve oturum kayıtlarını inceleyin. Genel öneri

Ek önlemler

  • UniFi OS cihazlarının yönetim arayüzlerini internete açmayın; erişimi yalnızca güvenilir yönetim ağı veya VPN ile sınırlayın. Genel öneri
  • Ağ segmentasyonu uygulayarak yönetim cihazlarına yalnızca gerekli istemcilerin erişmesini sağlayın. Genel öneri
  • Cihaz günlüklerini ve ağ trafiğini olağan dışı erişim girişimleri için izleyin. Genel öneri
  • Otomatik güncelleme ya da düzenli yama takvimi oluşturarak cihaz yazılımlarını güncel tutun. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler32 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Ubiquiti Inc EFG < 5.1.12 5.1.12
Ubiquiti Inc ENVR < 5.1.12 5.1.12
Ubiquiti Inc ENVR-Core < 5.1.12 5.1.12
Ubiquiti Inc Express < 4.0.14 4.0.14
Ubiquiti Inc Express 7 < 5.1.12 5.1.12
Ubiquiti Inc UCG-Fiber < 5.1.12 5.1.12
Ubiquiti Inc UCG-Industrial < 5.1.12 5.1.12
Ubiquiti Inc UCG-Max < 5.1.12 5.1.12
Ubiquiti Inc UCG-Ultra < 5.1.12 5.1.12
Ubiquiti Inc UCK < 5.1.12 5.1.12
Ubiquiti Inc UCK-Enterprise < 5.1.12 5.1.12
Ubiquiti Inc UCKP < 5.1.12 5.1.12

ve 20 satır daha

Kaynaklar5 kaynak

Kayıt geçmişi

  1. CISA KEV listesine eklendi (saldırılarda kullanılıyor)
  2. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.