Ce qu’il faut retenir
Le 26 août 2026, Ubiquiti a publié son bulletin de sécurité 067, qui corrige de nombreuses failles critiques dans la gamme UniFi, notamment UniFi Protect (vidéosurveillance) et UniFi Access (contrôle d’accès). La base NVD recense une dizaine de failles notées de 9.1 à 10 sur 10 pour cette date, dont des injections de commandes dans UniFi Protect : un attaquant ayant accès au réseau peut exécuter des commandes sur l’appareil qui héberge l’application. Pour UniFi Protect, la version corrigée est la 7.2.105 (les versions 7.1.87 et antérieures sont concernées). Un second bulletin, daté du 14 octobre 2026 (bulletin 070), corrige d’autres failles, dont une faille de gravité élevée sur le module UniFi Protect AI Key.
Qui est concerné ?
| Produits | UniFi Protect (vidéosurveillance), UniFi Access (contrôle d’accès) et d’autres applications UniFi (par exemple Talk) concernées par le bulletin 067 |
| UniFi Protect | Versions 7.1.87 et antérieures concernées ; corrigé à partir de la version 7.2.105 (d’après nos recoupements avec plusieurs sources) |
| Autres produits | Les versions corrigées de UniFi Access et des autres applications figurent dans le bulletin Ubiquiti 067 : nous ne les reprenons pas ici sans les avoir lues à la source |
| Exposition | Attaque par toute personne qui peut joindre l’appareil sur le réseau ; certaines failles exigent un compte à faibles privilèges, d’autres non |
| Source | Bulletin de sécurité Ubiquiti 067 |
Quel est le risque concret ?
Une injection de commandes sur l’appareil qui héberge UniFi Protect ou UniFi Access permet à un attaquant de prendre le contrôle de l’équipement : accès aux enregistrements et aux flux vidéo, modification des droits d’accès (badges, portes), et rebond vers le reste du réseau. Plus l’appareil est accessible depuis l’extérieur ou depuis un réseau peu cloisonné, plus le risque est grand. Aucune exploitation active de ces failles n’est signalée dans les sources que nous avons consultées.
Priorité de traitement
Justification : de nombreuses failles critiques sur des produits de sécurité physique, avec un correctif disponible depuis août ; aucune exploitation active n’est signalée à ce jour dans les sources consultées.
Que faut-il faire ?
- Relever les versions de UniFi Protect et de UniFi Access installées, ainsi que celle de UniFi OS sur l’appareil qui les héberge.
- Mettre à jour UniFi Protect vers la version 7.2.105 ou supérieure, et UniFi Access vers la version corrigée indiquée dans le bulletin Ubiquiti 067.
- Appliquer aussi les correctifs du bulletin 070 (octobre 2026), notamment si vous utilisez le module UniFi Protect AI Key.
- Ne pas laisser les interfaces de gestion accessibles depuis Internet : passer par un VPN pour l’accès à distance.
- Isoler les caméras et les contrôleurs d’accès sur un réseau dédié, séparé des postes de travail.
Recommandation Chrysalead
Nous recommandons de planifier ces mises à jour dans les prochains jours, en commençant par les installations dont l’interface est accessible depuis l’extérieur. Pensez à traiter en même temps la mise à jour de UniFi OS (voir notre alerte sur les failles déjà exploitées de UniFi OS). Contactez-nous si vous souhaitez que nous vérifiions vos installations de vidéosurveillance et de contrôle d’accès.
Détails techniques : exemples de failles du bulletin
| CVE | CVSS | Produit | Impact (selon NVD) |
|---|---|---|---|
| CVE-2026-77537 | 10 | UniFi Protect | Injection de commandes sur l’appareil hôte, avec accès au réseau et sans privilège |
| CVE-2026-77533 | 9.9 | UniFi Protect | Injection de commandes sur l’appareil hôte, avec un compte à faibles privilèges |
| CVE-2026-110459 | 8.6 | UniFi Protect AI Key (bulletin 070, 14/10/2026) | Contrôle d’accès défaillant : lecture d’informations, modifications non autorisées et déni de service |
Ces fiches ont les statuts « différée » ou « en attente d’analyse » dans NVD : la liste complète des CVE, des produits concernés et des versions corrigées figure dans les bulletins Ubiquiti 067 et 070.
Sources
Articles et services associés
- UniFi OS
- Le système des consoles et passerelles Ubiquiti UniFi. Il peut héberger les applications de vidéosurveillance (Protect) et de contrôle d’accès (Access).
- Injection de commandes
- Faille qui permet à un attaquant de faire exécuter ses propres commandes par l’appareil.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir des fiches NVD et de recoupements sur le bulletin Ubiquiti 067 (consultés le 12/11/2026). Les bulletins d’Ubiquiti n’ont pas pu être ouverts directement : vérifiez les produits et versions exactes dessus avant d’intervenir. Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.