Podsumowanie
| Parametr | Wartość |
|---|---|
| CVE ID | CVE-2026-22557 |
| Źródło alertu | Ubiquiti Security Advisory Bulletin 056 |
| Rok publikacji CVE | 2026 |
| Data publikacji | 2026-03-18 |
| Producent | Ubiquiti |
| Produkt | UniFi Network Application |
| CVSS Score | 10.0 (Krytyczny) |
| Typ podatności | Path Traversal (CWE-22) |
| Uwierzytelnienie | Nie wymagane |
| CISA KEV | Nie |
| Ransomware | Nie potwierdzono |
Opis podatności
Podatność CVE-2026-22557 typu Path Traversal w aplikacji sieciowej UniFi umożliwia nieuwierzytelnionemu atakującemu z dostępem do sieci:
- Odczyt i manipulację plików systemu operacyjnego hosta
- Przejęcie konta administratora (account takeover)
- Pełną kontrolę nad urządzeniem i zarządzaną infrastrukturą sieciową
Podatność otrzymała maksymalną ocenę CVSS 10.0, co oznacza najwyższy możliwy poziom zagrożenia.
Dotknięte produkty i wersje
| Produkt | Podatne wersje | Poprawiona wersja |
|---|---|---|
| UniFi Network Application (Official) | <= 10.1.85 | 10.1.89 |
| UniFi Network Application (RC) | <= 10.2.93 | 10.2.97 |
| UniFi Express (UX) firmware | <= 9.0.114 | 4.0.13 (zawiera UNA 9.0.118+) |
Dotknięte urządzenia to m.in. Dream Machine, Dream Machine Pro, Dream Router oraz wszystkie instalacje self-hosted UniFi Network Application.
Wymagane działania
- Natychmiastowa aktualizacja UniFi Network Application do wersji 10.1.89 lub nowszej
- UniFi Express: zaktualizuj firmware do 4.0.13
- Jeśli aktualizacja nie jest możliwa natychmiast:
- Ogranicz dostęp sieciowy do interfejsu zarządzania UniFi (firewall/ACL)
- Monitoruj logi pod kątem nietypowych żądań HTTP do aplikacji UniFi
- Rozważ tymczasowe wyłączenie zewnętrznego dostępu do panelu zarządzania
Powiązane podatności
Wraz z CVE-2026-22557 Ubiquiti załatało również drugą podatność:
- CVE-2026-22558 - NoSQL Injection (CVSS 7.7) umożliwiająca eskalację uprawnień. Ta luka wymaga uwierzytelnienia, ale w połączeniu z CVE-2026-22557 tworzy łańcuch ataku pozwalający na pełną kompromitację systemu.
Źródła
Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.
Powiązane usługi i produkty
Najczęściej zadawane pytania
Czym jest podatność CVE-2026-22557?
CVE-2026-22557 to krytyczna podatność typu Path Traversal w Ubiquiti UniFi Network Application, oceniona na 10.0 w skali CVSS. Umożliwia nieuwierzytelnionemu atakującemu z dostępem sieciowym odczyt i manipulację plików systemu operacyjnego, co prowadzi do pełnego przejęcia konta.
Kogo dotyczy podatność CVE-2026-22557?
Podatność dotyczy wszystkich użytkowników Ubiquiti UniFi Network Application w wersji 10.1.85 i wcześniejszych (Official Release), 10.2.93 i wcześniejszych (Release Candidate) oraz UniFi Express z firmware zawierającym UniFi Network Application 9.0.114 i wcześniejsze. Obejmuje to urządzenia Dream Machine, Dream Router i instalacje self-hosted.
Jak zabezpieczyć się przed CVE-2026-22557?
Należy natychmiast zaktualizować UniFi Network Application do wersji 10.1.89 (Official Release) lub 10.2.97 (Release Candidate). Dla UniFi Express należy zaktualizować firmware do wersji 4.0.13. Podatność nie wymaga uwierzytelnienia, więc każde urządzenie dostępne w sieci jest zagrożone.
Jakie ryzyko niesie podatność CVE-2026-22557?
Podatność ma najwyższą możliwą ocenę CVSS 10.0 (krytyczny). Atakujący bez żadnego uwierzytelnienia może uzyskać dostęp do plików systemu operacyjnego i przejąć pełną kontrolę nad urządzeniem. Dream Machine to centralne urządzenie zarządzające całą siecią UniFi, więc kompromitacja może oznaczać przejęcie całej infrastruktury sieciowej.
Czy CVE-2026-22557 jest aktywnie wykorzystywana w atakach?
Na dzień publikacji podatność nie została dodana do katalogu CISA KEV. Szczegóły techniczne mają zostać opublikowane przez badacza bezpieczeństwa w najbliższym czasie, co może przyspieszyć pojawienie się exploitów. Ze względu na krytyczność (CVSS 10.0) i brak wymogu uwierzytelnienia, aktualizacja powinna mieć najwyższy priorytet.
