Jeśli na twoich domowych kamerach widnieje UniFi, zaktualizuj je dziś

Trzy osobne luki dostały w tym tygodniu pełne 10,0 na 10, wszystkie w linii UniFi firmy Ubiquiti: sprzęcie sieciowym i kamerach, które po cichu stały się standardem dla każdego, kto chciał czegoś lepszego niż pudełko przysłane przez dostawcę internetu.

Ubiquiti opublikowało pakiet 26 sierpnia. Dwadzieścia dwie luki, dwadzieścia jeden z nich oznaczonych jako krytyczne. Trzy najgorsze to CVE-2026-77537 w aplikacji kamer UniFi Protect, gdzie niestaranna obsługa danych wejściowych pozwala napastnikowi bez żadnego konta uruchamiać polecenia na urządzeniu; CVE-2026-77550 w UniFi OS Server, które umożliwia całkowite ominięcie logowania; oraz CVE-2026-77554 w UniFi Talk, systemie telefonii VoIP, kolejne wstrzyknięcie polecenia. Wszystkie trzy opisano jako łatwe do wykorzystania i niewymagające od ciebie absolutnie niczego: bez kliknięcia, bez hasła, bez twojego błędu. Poprawione wersje to UniFi Protect 7.2.105, UniFi OS Server 5.1.21 i UniFi Talk 5.3.2 lub nowsze.

Nikt nie zgłosił jeszcze ataków z ich użyciem, i właśnie ten moment warto wykorzystać na aktualizację. Censys liczy ponad 100 000 instalacji UniFi OS dostępnych bezpośrednio z internetu, a sprzęt Ubiquiti ma długą historię wciągania do sieci zainfekowanych maszyn, którymi przestępcy ukrywają źródło swojego ruchu. System kamer, w którym obcy może uruchamiać polecenia, jest oczywiście też systemem kamer, w który obcy może zaglądać.

Jeśli masz ten sprzęt, otwórz konsolę UniFi i zainstaluj aktualizacje teraz, a nie w weekend, i przy okazji włącz automatyczne aktualizacje aplikacji. Jeśli nie masz, ogólny wniosek i tak zostaje: kamery, dzwonki do drzwi, drukarki i dyski sieciowe działają na oprogramowaniu, o którym nikt w domu nie myśli, a stoją w tej samej sieci co twój komputer. Skanowanie sieci w Tendvane wypisuje, co faktycznie jest do niej podłączone, a zwykle jest tego więcej, niż ludzie sądzą.