Le 23 juin 2026, la CISA a ajouté trois vulnérabilités UniFi OS à son catalogue Known Exploited Vulnerabilities, toutes le même jour, avec une échéance de remédiation à trois jours. UniFi OS est le système des équipements Ubiquiti de type Dream Machine, Cloud Key, UNVR et Dream Router — le socle qui héberge à la fois le contrôleur réseau et, sur beaucoup d'installations, UniFi Protect et sa vidéosurveillance.
Prises séparément, ces trois CVE ont l'air de failles de sévérité moyenne. Lues ensemble, elles décrivent une chaîne d'exploitation complète : lire des identifiants sur le système de fichiers, modifier la configuration, puis exécuter des commandes.
Une limite à signaler d'emblée : NVD n'a publié ni score CVSS, ni vecteur, ni liste de versions pour ces trois CVE au moment de la rédaction. Je m'appuie donc uniquement sur les descriptions CISA, et je ne vais pas inventer de numéros de version. Pour identifier la version corrigée applicable à ton matériel, il faut passer par l'advisory Ubiquiti.
Les trois CVE
| CVE | Nature | Description CISA |
|---|---|---|
| CVE-2026-34909 | Path traversal | access files on the underlying system that could be manipulated to access an underlying account |
| CVE-2026-34908 | Contrôle d'accès défaillant | make unauthorized changes to the system |
| CVE-2026-34910 | Validation d'entrée défaillante | conduct command injection |
Ajout KEV : 2026-06-23 pour les trois. Échéance CISA : 2026-06-26.
Les trois descriptions partagent la même formulation sur le prérequis : « a malicious actor with access to the network ». L'exploitation ne suppose donc pas nécessairement une exposition Internet — un attaquant sur le réseau local, ou sur le Wi-Fi invité selon la segmentation, suffit.
La chaîne d'exploitation
L'intérêt de ces trois CVE n'est pas dans leur sévérité individuelle mais dans leur complémentarité. Elles couvrent exactement les trois étapes dont un attaquant a besoin :
1. Obtenir des identifiants — CVE-2026-34909
Le path traversal permet de lire des fichiers arbitraires sur le système sous-jacent. La description CISA est explicite sur la finalité : ces fichiers « could be manipulated to access an underlying account ». Autrement dit, la lecture aboutit à la récupération d'éléments d'authentification.
2. Modifier la configuration — CVE-2026-34908
Le défaut de contrôle d'accès permet d'apporter des modifications non autorisées au système. Sur un contrôleur UniFi, cela couvre la configuration réseau : VLAN, règles de pare-feu, SSID, politiques de segmentation.
3. Exécuter du code — CVE-2026-34910
L'injection de commandes ferme la chaîne en transformant l'accès en exécution sur l'OS de l'équipement.
Le fait que les trois aient été ajoutées au KEV le même jour suggère qu'elles ont été observées exploitées ensemble, ou signalées par la même source à la suite d'une campagne.
Pourquoi UniFi OS est une cible à fort rendement
Le périmètre réel d'un équipement UniFi OS
Une Dream Machine ou une Cloud Key n'est pas « un routeur ». C'est, sur la plupart des installations, l'ensemble de l'infrastructure réseau condensée dans une boîte :
- Passerelle et pare-feu : tout le trafic Internet du site y transite
- Contrôleur UniFi Network : administre l'intégralité des points d'accès, switches et passerelles du site
- UniFi Protect (quand la licence est active) : gère les caméras, leurs flux et leurs enregistrements
- UniFi Access / Talk selon les déploiements : contrôle d'accès physique et téléphonie
Une prise de contrôle donne donc, d'un seul coup : la visibilité et la manipulation du trafic réseau, la reconfiguration de la segmentation, et l'accès à la vidéosurveillance — flux en direct comme archives.
Ce dernier point mérite d'être souligné parce qu'il est rarement anticipé dans les analyses de risque : une CVE réseau devient ici une atteinte directe à la vie privée des personnes filmées, avec les obligations RGPD correspondantes en cas de violation.
Le public visé
UniFi occupe une position particulière sur le marché : qualité professionnelle à prix accessible, ce qui le place massivement chez les PME, commerces, cabinets libéraux, hôtellerie-restauration, associations — et chez les particuliers exigeants.
Ce sont précisément les environnements sans équipe sécurité dédiée, où l'équipement est installé par un intégrateur puis oublié, et où la question « quelle version de firmware tourne sur la Dream Machine ? » n'a pas de réponse immédiate.
Détection et IOC
Vérifier ta version — première étape
# Via l'interface UniFi OS
Settings → System → Updates
Ou en SSH sur l'équipement, si tu l'as activé :
info
Compare avec la version corrigée indiquée dans l'advisory Ubiquiti pour ton modèle. Les mises à jour automatiques sont activées par défaut sur UniFi OS mais échouent silencieusement dans plusieurs situations : espace disque insuffisant, contrôleur en cours de migration, ou fenêtre de mise à jour jamais atteinte parce que l'équipement est éteint la nuit.
Comptes et accès
- Comptes locaux inconnus :
Settings → Admins & Users - Comptes Ubiquiti SSO associés à la console qui ne correspondent pas à ton équipe
- Connexions distantes dans l'historique :
Settings → System → Remote Access
Toute session administrateur depuis une IP ou une géolocalisation inattendue est à investiguer.
Configuration réseau
C'est le signal le plus fiable, parce que modifier la configuration est l'objectif de l'attaquant :
- Règles de pare-feu ajoutées, en particulier des autorisations sortantes larges
- Redirections de ports non documentées
- Nouveaux SSID, ou modification de l'isolation du réseau invité
- Modifications de VLAN qui affaiblissent la segmentation
- Serveurs DNS modifiés — un classique pour intercepter le trafic
UniFi Protect
Si tu utilises la vidéosurveillance :
- Consultations de flux ou téléchargements d'enregistrements non corrélés à une demande légitime
- Caméras désactivées ou réorientées
- Modifications de la durée de rétention
Trafic sortant
L'équipement doit communiquer avec les services Ubiquiti et ton DNS. Toute connexion sortante initiée par la console elle-même vers une autre destination mérite investigation.
Mitigation
1. Mettre à jour — et vérifier que c'est fait
C'est l'unique correctif. Consulte l'advisory Ubiquiti pour la version applicable à ton modèle, puis confirme visuellement la version installée après la mise à jour. Ne te fie pas à l'activation des mises à jour automatiques : vérifie le résultat.
2. Couper l'accès distant si tu ne t'en sers pas
Settings → System → Remote Access → désactiver
L'accès distant via le cloud Ubiquiti est pratique et activé par défaut sur beaucoup d'installations. Si tu ne l'utilises pas, le désactiver réduit la surface — pour ces CVE et les prochaines.
3. Restreindre l'accès à l'interface d'administration
L'interface d'administration ne devrait pas être joignable depuis le réseau invité ni depuis les VLAN utilisateurs. Vu le prérequis « access to the network », la segmentation est ici une mitigation de premier ordre, pas un raffinement.
Vérifie en particulier que ton réseau invité est réellement isolé de l'interface de management — c'est une erreur de configuration extrêmement répandue sur UniFi.
4. Désactiver SSH si tu ne l'utilises pas
Settings → System → Advanced → SSH → désactiver
5. Si tu suspectes une compromission
- Change tous les mots de passe : comptes locaux, compte Ubiquiti SSO associé, et les PSK Wi-Fi
- Compare la configuration à une sauvegarde de référence antérieure
- Vérifie les redirections de ports et les règles de pare-feu ligne par ligne
- Sur un équipement dont tu penses qu'il a été compromis au niveau système : réinitialisation d'usine puis restauration d'une sauvegarde antérieure auditée, plutôt qu'un nettoyage à chaud
- Si UniFi Protect était actif, évalue l'exposition des enregistrements et traite-la comme une potentielle violation de données personnelles
Pourquoi surveiller en continu vos équipements réseau
Ces trois CVE illustrent un angle mort structurel. Les équipements réseau tout-en-un — UniFi, mais aussi les box d'opérateur, les NAS, les enregistreurs vidéo — n'apparaissent dans aucun inventaire logiciel : pas d'agent, pas de remontée dans les scans d'OS, et aucun propriétaire déclaré côté IT parce qu'ils ont souvent été installés par un intégrateur externe.
Résultat : trois CVE au CISA KEV avec une échéance à trois jours peuvent rester des semaines sans que personne, dans l'organisation, ne sache si elle est concernée. Et contrairement à un serveur, l'équipement continue de fonctionner parfaitement pendant ce temps — rien ne signale le problème.
Avec cveo.tech, inventorie tes équipements réseau et IoT au même titre que tes serveurs, et reçois une alerte automatique dès qu'une CVE critique cible une de tes versions exactes — pour que la question « suis-je concerné ? » ait une réponse immédiate plutôt qu'une enquête de plusieurs jours.