Kritische UniFi-Sicherheitslücken 2026: Was du jetzt tun musst

Gleich mehrere kritische UniFi-Sicherheitslücken halten Admins und Heimnetz-Betreiber seit Juni 2026 auf Trab — und diesmal ist es keine Übung: Drei Schwachstellen mit dem höchstmöglichen CVSS-Score von 10.0 lassen sich zu einer Angriffskette verbinden, die ohne Anmeldung aus der Ferne bis zu Root-Rechten auf der Konsole führt. Die US-Cybersicherheitsbehörde CISA hat alle drei Lücken in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen — das heißt: Angreifer nutzen sie bereits in freier Wildbahn. Wer eine UniFi-Konsole betreibt, egal ob Dream Machine im Wohnzimmer oder Cloud Gateway im Firmenrack, sollte jetzt — nicht heute Abend, nicht am Wochenende — die installierte Version prüfen und gegebenenfalls patchen. Ich betreibe selbst ein UniFi-Netz und erkläre dir in diesem Artikel, was genau passiert ist, wie du herausfindest, ob du betroffen bist, und welche Schritte über das reine Update hinaus sinnvoll sind.

Was ist passiert?

Im Juni 2026 veröffentlichte Ubiquiti das Security Bulletin 065 und schloss damit drei Schwachstellen in UniFi OS, dem Betriebssystem der UniFi-Konsolen und Gateways. Alle drei tragen die Höchstwertung CVSS 10.0 — das kommt selten vor und ist für sich genommen schon ein Alarmsignal:

• CVE-2026-34908 ist ein Zugriffskontrollfehler: Der auf der Konsole laufende Nginx-Webserver normalisiert speziell präparierte URIs auf eine Weise, die Angreifern Zugang zu Endpunkten verschafft, die eigentlich nur intern erreichbar sein sollten.
• CVE-2026-34909 ist eine Path-Traversal-Lücke, über die sich Systemdateien lesen und manipulieren lassen.
• CVE-2026-34910 ist eine Command Injection, die am Ende die Ausführung beliebiger Befehle mit Root-Rechten erlaubt.

Jede dieser Lücken wäre einzeln schon unangenehm. Richtig ernst wird es durch das, was Sicherheitsforscher von Bishop Fox gezeigt haben: Die drei Schwachstellen lassen sich zu einer Kette verbinden, die ohne jede Authentifizierung funktioniert. Vereinfacht gesagt öffnet der URI-Trick die Tür zu den geschützten internen Endpunkten, der Path Traversal verschafft Zugriff auf Dateien, die dort nichts verloren haben, und die Command Injection macht daraus am Ende volle Root-Befehlsausführung. Aus der Ferne, ohne Passwort, ohne Nutzerinteraktion — schlimmer geht es aus Sicht eines Verteidigers kaum. Auf technische Details, wie sich das nachstellen lässt, verzichte ich hier bewusst; für dich als Betreiber zählt ohnehin nur eine Frage: Läuft auf deiner Konsole eine verwundbare Version, ja oder nein?

Aktiv ausgenutzt: Warum die Lage ernst ist

Am 23.06.2026 hat die CISA alle drei CVEs in ihren KEV-Katalog aufgenommen — die Liste der Known Exploited Vulnerabilities. Das ist ein wichtiger Unterschied zu einer „gewöhnlichen“ kritischen Lücke: In den KEV-Katalog kommt nur, was nachweislich aktiv ausgenutzt wird. Es geht also nicht mehr um ein theoretisches Risiko, sondern um laufende Angriffe. US-Bundesbehörden bekamen eine Frist bis zum 26.06. — gerade einmal drei Tage. Wenn die CISA eine so kurze Deadline setzt, ist das eine deutliche Ansage über die Dringlichkeit.

Besonders unangenehm: Der vermutete Beginn der Exposition liegt beim 22.05.2026 — also rund einen Monat, bevor die Lücken öffentlich wurden und Patches breit verfügbar waren. Wer seine Konsole in diesem Zeitraum aus dem Internet erreichbar hatte, muss davon ausgehen, dass sie mindestens gescannt, im schlimmsten Fall kompromittiert wurde. Deshalb reicht das Update allein nicht — dazu unten mehr.

Bin ich betroffen? Geräte und Versionen

Betroffen sind UniFi-Konsolen und Gateways, auf denen UniFi OS läuft. Konkret nennt Ubiquiti unter anderem die UDM, UDM-Pro, UDM-SE und UDM-Pro-Max, die UDR-Reihe, den Express 7, den UNVR, die Cloud Keys und die Cloud Gateways. Entscheidend ist die installierte UniFi-OS-Version — so sehen die sicheren Stände aus:

• UniFi-Konsolen allgemein (UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, UDR-Reihe, Express 7, UNVR, Cloud Key, Cloud Gateways): gepatcht ab UniFi OS 5.1.12
• UDM-Beast: gepatcht ab 5.1.11
• UNAS: gepatcht ab 5.1.10
• UniFi Express: gepatcht ab 4.0.14
• UniFi OS Server (die selbst gehostete Variante): gepatcht ab 5.0.8

Liegt deine Version darunter, ist deine Konsole für die Kette verwundbar. Bishop Fox stellt zusätzlich einen öffentlichen Schwachstellen-Detektor bereit, der prüft, ob ein System betroffen ist, ohne dabei Befehle auf dem Gerät auszuführen — ein sauberer Weg, um den eigenen Stand zu verifizieren, wenn du auf Nummer sicher gehen willst.

Die Juli-Patches: Connect, Talk, Access, Protect & Co.

Als hätte der Juni nicht gereicht, folgte am 02.07.2026 eine zweite Welle: Ubiquiti patchte kritische Lücken quer durch das Applications-Portfolio. Die wichtigsten Punkte im Überblick:

• UniFi Connect bis 3.4.16: CVE-2026-50746 mit CVSS 10.0 — eine Command Injection über einen Zugriffskontrollfehler. Fix: 3.4.20.
• UniFi Talk bis 5.1.2: CVE-2026-50747 (CVSS 9.9, eine authentifizierte SQL-Injection, die zur Privilegien-Eskalation führt), dazu CVE-2026-55113 (7.5, SSRF) und CVE-2026-55119 (8.1). Fix: 5.2.2.
• UniFi Access bis 4.2.28: CVE-2026-50748 (9.9, Command Injection), CVE-2026-54400 (9.1) und CVE-2026-55117 (8.6, Path Traversal). Fix: 4.2.29.
• UniFi Protect bis 7.1.77: fünf Lücken mit Wertungen zwischen 7.5 und 9.9. Fix: 7.1.83.
• UniFi OS bis 5.1.15: sieben weitere Lücken zwischen 7.5 und 9.9. Fix: 5.1.19 — ja, auch wer im Juni brav auf 5.1.12 aktualisiert hat, muss also noch einmal ran.
• UniFi Network Application bis 10.3.58: fünf Lücken zwischen 7.5 und 8.8. Fix: 10.4.57.

Die gute Nachricht: Für die Juli-Lücken war Stand 08.07. keine aktive Ausnutzung bekannt. Die schlechte: Bei Systemen, deren Management-Oberfläche aus dem Internet erreichbar ist, gilt trotzdem dieselbe Dringlichkeit — sobald Details öffentlich sind, beginnt erfahrungsgemäß das Wettrennen zwischen Patchern und Angreifern. Wenn du wissen willst, was sich abseits der Security-Front in der Network Application getan hat, findest du meine Einordnung im Artikel zu UniFi Network 10.6.

Das solltest du jetzt tun

Hier die Schritte in der Reihenfolge, in der ich sie selbst abgearbeitet habe:

1. UniFi OS und alle Applications updaten. Auf der Konsole unter Settings → Updates, alternativ zentral über den Site Manager. Prüfe wirklich beides — UniFi OS und die einzelnen Anwendungen wie Network, Protect, Talk oder Access, denn die Juli-Welle betrifft sie separat.
2. Prüfen, ob deine Management-Oberfläche aus dem Internet erreichbar ist. Portfreigaben auf 443 oder 8443 in Richtung Konsole gehören entfernt — ersatzlos. Für den Fernzugriff gibt es unifi.ui.com oder ein VPN; ich nutze dafür Tailscale, das in wenigen Minuten eingerichtet ist und die Management-UI komplett aus dem öffentlichen Internet verschwinden lässt.
3. Admin-Konten kontrollieren. Geh die Benutzerliste durch: Jedes Konto, das seit dem 22.05.2026 angelegt wurde und das du nicht selbst erstellt hast, ist ein Alarmzeichen.
4. Konfiguration auf unerwartete Änderungen prüfen. Neue Portweiterleitungen, ein VPN-Server, den du nie eingerichtet hast, unbekannte Benutzer oder Firewall-Regeln — alles, was du dir nicht erklären kannst, verdient einen zweiten Blick.
5. Backups ziehen. Ein aktuelles Konfigurations-Backup (und bei Protect ein Blick auf die Aufnahmen-Sicherung) kostet zwei Minuten und macht dich handlungsfähig, falls doch etwas schiefgeht.
6. Auto-Updates für die Firmware erwägen. Ich weiß, kontrolliertes Patchen hat seinen Reiz — aber gerade bei einem Internet-Gateway ist ein automatisch eingespielter Sicherheitspatch fast immer das kleinere Übel gegenüber einer wochenlang offenen kritischen Lücke.

Falls du dein UniFi-Setup gerade erst aufbaust: In meinem UniFi-Einrichtungs-Guide gehe ich die Grundkonfiguration Schritt für Schritt durch — inklusive der Punkte, die man aus Sicherheitssicht von Anfang an richtig machen sollte.

Woran erkenne ich eine Kompromittierung?

Die typischen Spuren, auf die auch die Sicherheitsforscher hinweisen: unbekannte Admin-Konten (vor allem solche mit Erstellungsdatum ab dem 22.05.), unerklärliche Konfigurationsänderungen wie neue Portweiterleitungen oder VPN-Zugänge, und ungewöhnlicher ausgehender Traffic von der Konsole selbst — ein Gateway, das plötzlich Verbindungen zu Zielen aufbaut, die du nicht zuordnen kannst, ist verdächtig.

Wenn du einen begründeten Verdacht hast, gilt die klassische Incident-Reihenfolge: Konsole vom Netz trennen, dann entweder ein Backup von vor dem 22.05.2026 einspielen oder — sauberer — Werksreset und Neuaufbau der Konfiguration. Anschließend alle Passwörter und Schlüssel rotieren, die auf oder über das Gerät gelaufen sind: Admin-Zugänge, WLAN-Passwörter, RADIUS-Secrets, VPN-Schlüssel. Das ist lästig, keine Frage. Aber ein Angreifer mit Root auf deinem Gateway saß an der zentralen Stelle deines Netzes — da hilft kein halbherziges Aufräumen. Wie du dein Netz danach sauber strukturierst, habe ich im Grundlagen-Artikel zum Heimnetzwerk beschrieben.

Einordnung: Muss ich UniFi jetzt misstrauen?

Kurze Antwort: Nein — aber du solltest deine eigene Exposition ernst nehmen. Ein CVSS-10.0-Dreierpack samt aktiver Ausnutzung ist ein schwerer Vorfall, das will ich nicht kleinreden. Nur: Kritische Lücken dieser Größenordnung treffen regelmäßig praktisch jeden großen Hersteller — Firewall-Anbieter und NAS-Hersteller tauchen seit Jahren mit schöner Regelmäßigkeit im KEV-Katalog auf. Die entscheidenden Fragen sind deshalb nicht „Hat Hersteller X Lücken?“, sondern: Wie schnell wird gepatcht, und wie exponiert ist mein System überhaupt?

Bei beidem sieht es hier ordentlich aus. Ubiquiti hat die Juni-Lücken zügig geschlossen und im Juli proaktiv gleich das ganze Portfolio nachgezogen. Und wer seine Management-Oberfläche nie ins Internet gestellt hat, war für die Angriffskette von außen kaum erreichbar — die beste Verteidigung war und ist schlicht, das Management gar nicht erst zu exponieren. Positiv finde ich auch die Richtung, die Ubiquiti mit SafeOps eingeschlagen hat — mehr eingebaute Leitplanken und sicherere Defaults, wie ich sie im Artikel zu UniFi Network 10.6 beschrieben habe. Genau dorthin muss die Reise gehen.

Fazit

Die UniFi-Sicherheitslücken vom Juni 2026 gehören zur ernstesten Kategorie: unauthentifiziert, aus der Ferne, Root-Rechte, aktiv ausgenutzt. Wenn du nur eine Sache aus diesem Artikel mitnimmst, dann diese: Prüfe jetzt deine UniFi-OS-Version und bring sie mindestens auf 5.1.19, dazu alle Applications auf die Juli-Stände. Danach die Portfreigaben zur Management-UI entfernen, Admin-Konten und Konfiguration kontrollieren, Backup ziehen. Das Ganze dauert keine halbe Stunde — und danach bist du nicht nur gegen diese konkrete Kette abgesichert, sondern hast dein Netz strukturell härter gemacht. Genau das ist am Ende der Unterschied zwischen einer Schlagzeile, die dich betrifft, und einer, die du nur liest.

Häufige Fragen

Muss ich patchen, wenn meine Konsole nicht aus dem Internet erreichbar ist?

Ja, unbedingt. Die Angriffskette braucht keinen Zugang aus dem Internet — sie funktioniert aus jedem Netz, aus dem die Management-Oberfläche erreichbar ist. Ein fehlkonfiguriertes Gast-WLAN, ein IoT-VLAN ohne saubere Firewall-Regeln oder ein kompromittierter Client im LAN reichen als Ausgangspunkt. Fehlende Erreichbarkeit von außen senkt das Risiko deutlich, ersetzt aber niemals den Patch.

Reicht das Update oder muss ich mehr tun?

Das Update schließt die Lücken, macht aber eine bereits erfolgte Kompromittierung nicht ungeschehen. Wenn deine Konsole zwischen dem 22.05.2026 und deinem Update aus dem Internet erreichbar war, solltest du zusätzlich die Admin-Konten und die Konfiguration auf unerwartete Änderungen prüfen — und im Verdachtsfall neu aufsetzen und Zugangsdaten rotieren.

Woher weiß ich, welche UniFi-OS-Version läuft?

In der Web-Oberfläche deiner Konsole unter Settings → Updates siehst du die installierte UniFi-OS-Version und die Versionen aller Applications samt verfügbarer Updates. Alternativ zeigt dir der Site Manager auf unifi.ui.com den Versionsstand aller deiner Konsolen zentral an.

Ist der Cloud-Zugang über unifi.ui.com gefährlich?

Nein, im Gegenteil: Der Fernzugriff über unifi.ui.com ist genau der Weg, den du statt einer Portfreigabe nutzen solltest. Dabei baut die Konsole eine ausgehende Verbindung zu Ubiquiti auf — es gibt keinen offenen Port, den ein Angreifer von außen direkt ansprechen könnte. Sichere dein Ubiquiti-Konto mit einem starken Passwort und Zwei-Faktor-Authentifizierung ab, dann ist das deutlich robuster als jede exponierte Management-UI. Wer der Hersteller-Cloud grundsätzlich nicht traut, fährt mit einem eigenen VPN wie Tailscale genauso sicher.