Ubiquiti UniFi: 25 CVEs im Advisory 066 – drei mit CVSS bis 10.0

Ein einziger Router in Ihrer Arztpraxis oder Kanzlei, der gleichzeitig Ihre Kameras, Ihren Türzugang und Ihre Telefonanlage steuert – und der sich per Netzwerkbefehl komplett übernehmen lässt, ohne dass ein Angreifer auch nur ein Passwort kennen muss. Genau dieses Szenario steckt hinter dem Security Advisory Bulletin 066, das der Netzwerkhersteller Ubiquiti am 2. Juli 2026 veröffentlicht hat. Es enthält 25 Sicherheitslücken quer durch das gesamte UniFi-Ökosystem – drei davon mit den maximal möglichen Schweregraden CVSS 9.9 bzw. 10.0.

Heise Security stufte die Lücken am 3. Juli 2026 als kritisch ein und empfiehlt ein sofortiges Update. Wenn Sie in Ihrem Unternehmen UniFi-Geräte einsetzen – und das tun in Deutschland sehr viele KMU – sollten Sie diesen Artikel nicht bis morgen liegen lassen.

Was ist passiert?

Am 2. Juli 2026 veröffentlichte Ubiquiti das Security Advisory Bulletin 066 mit insgesamt 25 sogenannten CVEs (das sind eindeutig nummerierte, offiziell registrierte Sicherheitslücken). Betroffen ist praktisch die gesamte UniFi-Produktfamilie: UniFi OS, UniFi Network, UniFi Protect (Videoüberwachung), UniFi Access (Zutrittskontrolle), UniFi Talk (Telefonie) und UniFi Connect (Displays).

Von den 25 Lücken wurden sieben als kritisch (CVSS 9.0–10.0) und 18 als hoch eingestuft. CVSS ist eine international standardisierte Bewertungsskala von 0 bis 10 – je höher der Wert, desto gefährlicher die Lücke. Werte ab 9.0 gelten als absoluter Notfall.

„Da mehrere der insgesamt 25 Schwachstellen als kritisch eingestuft wurden, mit CVSS-Werten von 9.0 bis zum Maximalwert von 10.0, ist schnelles Handeln erforderlich. Ein zeitnahes Einspielen ist besonders vor dem Hintergrund ratsam, dass UniFi OS, das erneut von Lücken geplagt wird, bereits im Juni von Angreifern ins Visier genommen wurde.“ – Olivia von Westernhagen, Heise Security (3. Juli 2026)

Die gefährlichsten fünf Lücken im Detail

Fünf Schwachstellen stechen mit CVSS-Werten von 9.9 oder 10.0 besonders hervor:

• CVE-2026-50746 (CVSS 10.0) – „Improper Access Control“ in der UniFi Connect Application (Versionen bis einschließlich 3.4.16). Ein Angreifer mit Netzwerkzugang kann ohne jede Anmeldung beliebige Befehle auf dem Gerät ausführen (sogenannte Command Injection – das Einschleusen fremder Befehle). Das bedeutet: vollständige Übernahme des Systems, keine Hürde.
• CVE-2026-50747 (CVSS 9.9) – Mehrere SQL-Injection-Lücken in UniFi Talk (bis 5.1.2). SQL-Injection ist das Einschleusen von Datenbankbefehlen. Angreifer mit niedrigen Rechten können sich so höhere Rechte verschaffen und die gesamte Telefonie-Umgebung übernehmen.
• CVE-2026-50748 (CVSS 9.9) – Fehlerhafte Eingabeprüfung in UniFi Access (bis 4.2.28). Ermöglicht Command Injection und damit die vollständige Übernahme des Zutrittskontrollsystems.
• CVE-2026-54402 (CVSS 9.9) – Command Injection in UniFi OS. Führt zur vollständigen Geräteübernahme.
• CVE-2026-55115 (CVSS 9.9) – Server-Side Request Forgery (SSRF) in UniFi Protect (bis 7.1.77). SSRF bringt ein Gerät dazu, im Auftrag des Angreifers interne Anfragen zu stellen – hier zur Rechteausweitung.

Zwei weitere kritische Lücken sind CVE-2026-54400 (CVSS 9.1, UniFi Access) und CVE-2026-55116 (CVSS 9.0, UniFi OS unter bestimmten Netzwerkkonfigurationen). Unter den 18 hochgradigen Lücken befindet sich unter anderem CVE-2026-54403 (CVSS 8.6), eine Path-Traversal-Lücke in UniFi OS (bis 5.1.18), die eine Umgehung der Anmeldung ermöglicht und mit anderen Lücken kombiniert werden kann.

Der entscheidende Punkt: Bei den kritischsten Lücken genügt Netzwerkzugang. Es ist kein physischer Zugang zum Gerät nötig. Die Management-Oberflächen von UniFi lauschen typischerweise auf den TCP-Ports 443, 8443 oder 11443. Ist ein Gerät direkt aus dem Internet erreichbar, kann der Angriff von überall auf der Welt kommen. Und mehrere Lücken lassen sich verketten – genau das haben Angreifer bei den Vorgänger-Lücken bereits vorgeführt.

Warum diese Lücken so brisant sind: die Vorgeschichte

Advisory 066 ist bereits das dritte kritische Security Advisory von Ubiquiti innerhalb von nur fünf Wochen (SAB-064 am 21. Mai, SAB-065 am 10. Juni, SAB-066 am 2. Juli 2026). Das ist ein Muster, das aufhorchen lässt.

Besonders alarmierend ist der Verlauf bei SAB-064 vom Mai: Dort hatte Ubiquiti drei Lücken mit CVSS 10.0 in UniFi OS gepatcht. Nur 19 Tage später, am 9. Juni 2026, beobachteten Sicherheitsforscher von PwnDefend/Xservus erste aktive Angriffe. Angreifer verketteten zwei dieser Lücken, um unter Umgehung der Anmeldung Schadcode einzuschleusen und ein Mirai-artiges Botnet aufzubauen.

„Wir haben Live-Angriffe auf SAB-064 beobachtet — drei unabhängige CVSS-10.0-Lücken in UniFi OS Server, jede für sich schon kritisch. Die abgefangene Anfrage kombiniert die nginx-Auth-Gateway-Umgehung mit der Command-Injection beim Paket-Update, um in einem einzigen Schritt unauthentifizierte Codeausführung zu erreichen. Das Payload ist ein Mirai/Gafgyt-abgeleiteter IoT-Bot.“ – Xservus/PwnDefend (9. Juni 2026)

Die US-Behörde CISA nahm diese Lücken am 23. Juni 2026 in ihren KEV-Katalog auf (eine Liste nachweislich aktiv ausgenutzter Schwachstellen) und setzte US-Bundesbehörden eine Frist bis zum 26. Juni. Der Grund für die Angriffswelle: Viele Administratoren hatten die Mai-Patches schlicht nicht eingespielt.

Für Advisory 066 selbst liegen zum Stand der Recherche (5. Juli 2026) noch keine bestätigten aktiven Angriffe in freier Wildbahn vor. Die Sicherheitsfirma IONIX verfolgt jedoch bereits Ausnutzungsversuche. Angesichts der Vorgeschichte ist es realistisch, dass Angreifer auch diese Lücken zügig aufgreifen werden.

Wer ist betroffen?

UniFi ist längst kein reines Bastler-Produkt mehr. Wie es der Sicherheitsautor Alexander Baumgärtner treffend formuliert:

„UniFi hat sich vom Bastler-Liebling zur Grundausstattung in Arztpraxen, Kanzleien und kleinen Filialnetzen gemausert. Genau das macht die Geräte interessant: Wo früher eine Fritzbox stand, hängt heute eine Dream Machine mit Kameras, Türzugang und VoIP am selben Controller — eine ganze Kette von Diensten an einer Management-Oberfläche. Fällt die, fällt viel.“

Die Zahlen unterstreichen die Verbreitung: Ubiquiti erzielte im Geschäftsjahr 2025 einen Umsatz von 2,57 Milliarden US-Dollar (plus 33 Prozent zum Vorjahr) und hält laut CSIMarket rund 85,9 Prozent Marktanteil in seinem Wettbewerbssegment. Laut Censys waren zum Zeitpunkt der Mai-Offenlegung knapp 100.000 UniFi-OS-Endpunkte direkt aus dem Internet erreichbar. Für Deutschland liegen keine gesonderten Zahlen vor, doch UniFi ist hierzulande die meistgenutzte Netzwerklösung im Prosumer- und KMU-Segment.

So prüfen Sie, ob Sie betroffen sind

1. Inventur: Prüfen Sie, ob Ubiquiti-UniFi-Geräte im Einsatz sind. Typische Geräte: UniFi Dream Machine (UDM/UDM-Pro), UniFi Cloud Key, UniFi Access Points, UniFi Switches, UniFi Network Video Recorder (UNVR), UniFi-Access-Türcontroller, UniFi-Talk-Telefone oder UniFi-Connect-Displays.
2. UniFi-OS-Version prüfen: Melden Sie sich an der UniFi-OS-Oberfläche an (meist https://[IP-Adresse] oder https://unifi.ui.com). Unter „System“ > „Updates“ bzw. „Settings“ > „System“ > „Firmware“ vergleichen Sie die Version. UniFi OS muss mindestens 5.1.19 sein.
3. Anwendungsversionen prüfen: Unter „Applications“ die Versionen aller installierten Anwendungen kontrollieren. Kritisch sind: UniFi Network (≥ 10.4.57), UniFi Protect (≥ 7.1.83), UniFi Access (≥ 4.2.29), UniFi Talk (≥ 5.2.2), UniFi Connect (≥ 3.4.20).
4. Internet-Exposition prüfen: Rufen Sie https://www.shodan.io auf und suchen Sie nach Ihrer öffentlichen IP-Adresse. Alternativ prüfen Sie in Ihrer Firewall/Ihrem Router, ob die Ports 443, 8443 oder 11443 an UniFi-Geräte weitergeleitet werden. Internet-exponierte Geräte tragen das höchste Risiko und müssen zuerst gepatcht werden.
5. Kompromittierung prüfen (für die bereits ausgenutzten Mai-Lücken): Bishop Fox stellt ein kostenloses Erkennungsskript auf GitHub bereit (github.com/BishopFox/CVE-2026-34908-check). Prüfen Sie außerdem System-Logs auf unbekannte Prozesse – insbesondere laufende Prozesse mit gelöschten ausführbaren Dateien, ein Merkmal des Mirai-Loaders „azsxd“.
6. Selbst gehostete UniFi Network Server: Auch selbst betriebene Instanzen auf Linux-Servern oder in der Cloud prüfen – über die Web-Oberfläche oder per Kommandozeile.

Das müssen Sie jetzt tun

Ubiquiti hat alle Patches seit dem 2. Juli 2026 bereitgestellt. Handeln Sie umgehend:

1. Sofort updaten: Beginnen Sie mit internet-exponierten Geräten. Zielversionen: UniFi OS auf 5.1.19+, UniFi Connect auf 3.4.20+, UniFi Talk auf 5.2.2+, UniFi Access auf 4.2.29+, UniFi Network auf 10.4.57+, UniFi Protect auf 7.1.83+, UniFi Protect Floodlight auf 1.13.6+. Updates erfolgen über die UniFi-OS-Oberfläche oder den UniFi Network Controller.
2. Management-Interface vom Internet isolieren: Sorgen Sie dafür, dass die Verwaltungsoberfläche (Ports 443, 8443, 11443) nicht direkt aus dem Internet erreichbar ist. Entfernen Sie entsprechende Port-Weiterleitungen und nutzen Sie für die Fernwartung ein VPN (verschlüsselter Fernzugang).
3. Netzwerk segmentieren: Platzieren Sie Management-Interfaces in einem eigenen Management-VLAN (ein logisch abgetrenntes Teilnetz), das nur autorisierte Administrator-Geräte erreichen.
4. Auf Kompromittierung prüfen: Waren Ihre Geräte vorher aus dem Internet erreichbar oder wurden die Mai-Patches nicht zeitnah eingespielt, achten Sie auf unbekannte Prozesse, ungewöhnlichen ausgehenden Verkehr (insbesondere UDP-Port 69/TFTP), veränderte Konfigurationen und neue Admin-Accounts.
5. Automatische Updates aktivieren: Unter „System“ > „Updates“ die automatische Update-Benachrichtigung oder – wo vertretbar – automatische Updates einschalten.
6. Starke Authentifizierung: Aktivieren Sie Zwei-Faktor-Authentifizierung (2FA) für alle Admin-Accounts, verwenden Sie starke, einzigartige Passwörter und deaktivieren Sie nicht benötigte Dienste.

DSGVO: Warum das Nicht-Patchen teuer werden kann

Setzen Sie UniFi Access (Zutrittsdaten von Personen) oder UniFi Protect (Videoaufnahmen) ein, hat ein erfolgreicher Angriff unmittelbare datenschutzrechtliche Folgen. Denn dann werden personenbezogene Daten verarbeitet – und eine vollständige Systemübernahme ist regelmäßig als Datenpanne zu werten.

• Meldepflicht (Art. 33 DSGVO): Eine Datenpanne muss unverzüglich, möglichst binnen 72 Stunden, der zuständigen Datenschutzaufsichtsbehörde gemeldet werden.
• Benachrichtigungspflicht (Art. 34 DSGVO): Besteht ein hohes Risiko für die Betroffenen (etwa bei Zutrittsdaten, Kameraaufnahmen oder Mitarbeiterdaten), müssen auch diese Personen informiert werden.
• Haftung (Art. 32, 82, 83 DSGVO): Wer bekannte kritische Patches nicht zeitnah einspielt, verstößt möglicherweise gegen die Pflicht zu angemessenen technischen Schutzmaßnahmen. Es drohen Bußgelder sowie zivilrechtliche Schadensersatzansprüche.

Zur Einordnung: In Deutschland wurden 2025 insgesamt 10.259 Datenpannen gemeldet (Vorjahr: 8.623), und die Aufsichtsbehörden verhängten 249 Bußgelder mit einer Gesamthöhe von rund 46,9 Millionen Euro. Das höchste Einzelbußgeld gegen ein deutsches Unternehmen betrug 45 Millionen Euro (Vodafone, wegen unzureichender Authentifizierungsprozesse). Für KMU sind bei nachgewiesenem Versäumnis im Patch-Management Bußgelder im fünf- bis sechsstelligen Bereich realistisch.

Risiko-Einschätzung

Das Gesamtrisiko für UniFi-nutzende KMU in Deutschland ist als kritisch einzustufen. Fünf Lücken mit CVSS 9.9–10.0 ermöglichen die vollständige Geräteübernahme ohne oder mit minimaler Anmeldung. Der Angriffsweg ist rein netzwerkbasiert. Die direkt vorausgehenden Lücken wurden binnen 19 Tagen aktiv für ein Botnet ausgenutzt. Und die Häufung von drei kritischen Advisories in fünf Wochen deutet auf systemische Sicherheitsprobleme beim Hersteller hin. Besonders gefährdet sind Unternehmen ohne aktive IT-Betreuung, bei denen Patches nicht automatisch eingespielt werden.

Fazit

Die Lehre aus dem Mai-Debakel ist eindeutig: Wer Patches liegen lässt, wird zum Ziel. Ubiquiti hat mit Advisory 066 innerhalb von zwei Tagen alle notwendigen Updates bereitgestellt – die Verantwortung liegt jetzt bei den Betreibern. Prüfen Sie noch heute, welche UniFi-Geräte bei Ihnen laufen, spielen Sie die Updates ein und nehmen Sie Ihre Management-Oberfläche aus dem Internet. Ein UniFi-Controller, der Kameras, Türzugang und Telefonie unter einem Dach vereint, ist ein hochattraktives Ziel – und ein einziger nicht eingespielter Patch reicht, um alles auf einmal zu verlieren.