Ce qu’il faut retenir
Trois failles de UniFi OS, le système des consoles et passerelles Ubiquiti UniFi, sont notées 10 sur 10 : un attaquant qui peut joindre l’appareil sur le réseau, sans compte ni mot de passe, peut y apporter des modifications non autorisées, accéder à des fichiers du système et exécuter des commandes. Ubiquiti les a corrigées en mai 2026 (bulletin 064). La CISA américaine les a ajoutées le 23 juin 2026 à son catalogue des failles exploitées : elles sont donc utilisées dans de vraies attaques. Si vos consoles UniFi n’ont pas été mises à jour depuis mai, elles sont exposées.
Qui est concerné ?
| Produit | Appareils sous UniFi OS : UniFi OS Server, passerelles et consoles de la gamme Dream Machine, Cloud Gateway, etc. Ces appareils peuvent héberger UniFi Protect (vidéosurveillance) et UniFi Access (contrôle d’accès) |
| Versions corrigées | UniFi OS 5.1.12 ou supérieure pour la plupart des consoles et passerelles (Dream Machine, Cloud Gateway…), d’après NVD et nos recoupements. Certains produits (UniFi OS Server, UniFi Express) ont une version propre : la liste complète des modèles et des versions figure dans le bulletin Ubiquiti 064 |
| Exposition | Attaque à distance, sans authentification ni action de l’utilisateur, par toute personne qui peut joindre l’appareil sur le réseau |
| Exploitation | Failles exploitées : ajoutées au catalogue de la CISA le 23/06/2026 |
| Source | Bulletin de sécurité Ubiquiti 064 |
Quel est le risque concret ?
Une console ou une passerelle UniFi compromise donne à l’attaquant la main sur l’équipement qui gère souvent le réseau et la vidéosurveillance de l’entreprise : accès aux flux des caméras, modification des règles du pare-feu, changement des accès, ou point d’appui pour attaquer le reste du réseau. Le risque est maximal si l’interface de gestion de l’appareil est accessible depuis Internet.
Priorité de traitement
Justification : trois failles de gravité maximale, déjà exploitées, exploitables sans mot de passe et corrigées depuis mai : il faut vérifier les versions sans attendre.
Que faut-il faire ?
- Repérer toutes les consoles et passerelles UniFi de l’entreprise (Dream Machine, Cloud Gateway, UniFi OS Server…) et relever leur version de UniFi OS.
- Mettre à jour UniFi OS vers une version corrigée : 5.1.12 ou supérieure pour la plupart des consoles et passerelles. Vérifier le modèle exact (et la version propre à UniFi OS Server ou UniFi Express) dans le bulletin Ubiquiti 064.
- S’assurer que l’interface de gestion n’est pas accessible depuis Internet : n’autoriser l’accès à distance que par VPN.
- Si un appareil est resté longtemps sans mise à jour et accessible depuis Internet, le considérer comme potentiellement compromis : vérifier les comptes administrateurs, les règles de pare-feu et les appareils ajoutés, et changer les mots de passe et clés d’accès.
- Activer les mises à jour automatiques de UniFi OS quand c’est possible, pour ne plus rester en retard.
Recommandation Chrysalead
Nous recommandons de vérifier ces consoles dès cette semaine, en commençant par celles dont l’interface est exposée sur Internet, et de les mettre à jour. Si vous n’êtes pas certain de la version installée, ou si un appareil était resté sans mise à jour, contactez-nous : nous pouvons contrôler l’équipement et vérifier qu’il n’a pas été compromis.
Détails techniques : les trois failles
| CVE | CVSS | Type de faille (selon NVD) | Impact |
|---|---|---|---|
| CVE-2026-34908 | 10 | Contrôle d’accès défaillant | Modifications non autorisées du système par un attaquant ayant accès au réseau |
| CVE-2026-34909 | 10 | Traversée de répertoire | Accès à des fichiers du système, permettant d’atteindre un compte sous-jacent |
| CVE-2026-34910 | 10 | Validation d’entrée défaillante | Injection de commandes sur l’appareil |
Vecteur CVSS 3.1 commun : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H. Les trois fiches ont le statut « analysées » dans NVD. Le bulletin Ubiquiti 064 a été publié le 21 mai 2026 et mis à jour le 22 mai (d’après nos recoupements).
Sources
Articles et services associés
- UniFi OS
- Le système des consoles et passerelles Ubiquiti UniFi. Il peut héberger les applications de vidéosurveillance (Protect) et de contrôle d’accès (Access).
- Injection de commandes
- Faille qui permet à un attaquant de faire exécuter ses propres commandes par l’appareil.
- Sans authentification
- L’attaquant n’a besoin ni de compte ni de mot de passe pour tenter d’exploiter la faille.
- CVE
- Identifiant public attribué à une vulnérabilité connue.
- CVSS
- Score de 0 à 10 qui évalue la gravité technique d’une vulnérabilité. Il ne mesure pas à lui seul l’impact sur l’activité d’une entreprise.
Cette alerte est une synthèse éditoriale rédigée par Chrysalead IT Services à partir des fiches NVD, du catalogue de la CISA et de recoupements sur le bulletin Ubiquiti 064 (consultés le 12/11/2026). Le bulletin d’Ubiquiti n’a pas pu être ouvert directement : vérifiez les modèles et versions exactes dessus. Les informations peuvent évoluer : vérifiez toujours la source officielle avant toute intervention sur vos équipements.