Vulnerabilidades no Ubiquiti UniFi OS permitem execução remota de código
Pesquisadores da Bishop Fox identificaram uma cadeia de três vulnerabilidades no servidor Ubiquiti UniFi OS que permitem a execução remota de código com privilégios de root, sem necessidade de autenticação. As falhas, identificadas como CVE-2026-34908, CVE-2026-34909 e CVE-2026-34910, foram corrigidas em maio e afetam versões do UniFi OS Server até 5.0.6. A CVE-2026-34908 refere-se a um controle de acesso inadequado, enquanto a CVE-2026-34909 é uma vulnerabilidade de traversal de caminho que pode expor arquivos do sistema operacional subjacente. A CVE-2026-34910 permite a injeção de comandos, possibilitando que atacantes executem comandos arbitrários. Os pesquisadores demonstraram que, ao explorar essas falhas, é possível contornar a autenticação e acessar serviços internos vulneráveis. Embora os comandos injetados não sejam executados inicialmente como root, a conta de serviço afetada possui privilégios sudo, facilitando a escalada de privilégios. A Bishop Fox disponibilizou um script de detecção gratuito para ajudar as organizações a identificar se suas instâncias estão vulneráveis. É recomendado que os usuários atualizem para a versão 5.0.8 ou superior para mitigar os riscos.