UniFi OS: command injection sin autenticación expone a 100K dispositivos (CVE-2026-50746)

Contexto del incidente

El 8 de julio de 2026, Ubiquiti publicó el Security Advisory Bulletin 066 con parches para 25 vulnerabilidades que afectan al ecosistema UniFi OS y sus aplicaciones satélite (UniFi Connect, Talk, Access, Protect, Network). La cabeza de serie es CVE-2026-50746, un command injection con CVSS 10.0 que vive en UniFi Connect Application 3.4.16 y anteriores y se arregla pasando a 3.4.20 o superior.

Lo reportado por el vendor es textual: "A malicious actor with access to the network could exploit an Improper Access Control vulnerability found in UniFi Connect Application to execute a Command Injection on the host device." El vector CVSS v3.1 es CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H — es decir: ataque por red, baja complejidad, sin privilegios requeridos, sin interacción del usuario, con cambio de scope (S:C) e impacto alto en C/I/A. Esa combinación es exactamente lo que Ubiquiti necesitó para gatillar la categoría "maximum severity" y emitir el bulletin en simultáneo con la coordinación de BleepingComputer, The Cyber Express y Censys.

El bug fue reportado por Duc Anh Nguyen (@heckintosh_). UniFi Connect es la app que maneja las operaciones de edificios comerciales en una consola central: luces LED inteligentes, cargadores de vehículos eléctricos, automatizaciones. Es el cerebro de las instalaciones B2B de Ubiquiti, así que el radio de explosión es grande para quienes delegaron la operación física en esa capa.

Un CVSS 10.0 en un componente que automatiza infraestructura física (EV chargers, iluminación) no es un parche más. Es un escenario donde un atacante pasa de "tengo la red" a "tengo el edificio" en una sola request.

Los otros 6 CVEs críticos del mismo bulletin

El bulletin 066 no viene solo. La ronda completa de CVEs críticas incluye, además del command injection principal:

• CVE-2026-50747 — UniFi Talk, CVSS 9.9 (complejidad baja, sin interacción).
• CVE-2026-50748 — UniFi Access, CVSS 9.9 (control de acceso físico a puertas y lectores).
• CVE-2026-54402 — UniFi OS, command injection en el core del sistema.
• CVE-2026-55115 — UniFi Protect, SSRF (cámaras y NVRs).
• CVE-2026-55116 — UniFi OS, improper access control que permite cambios no autorizados en dispositivos.
• CVE-2026-54401 / 54403 / 54404 — SSRF, path traversal y SQL injection, con la aclaración de Ubiquiti de que CVE-2026-54403 (path traversal) es encadenable y permite remover el requisito de acceso con bajos privilegios.

Lo que hace a esta tanda particularmente incómoda es el patrón de companion CVEs típico: el RCE principal (CVE-2026-50746) es el titular, pero CVE-2026-54403 (path traversal) y CVE-2026-55116 (improper access control) viven en la misma superficie. Parchear solo UniFi Connect no cierra el riesgo: hay que actualizar el stack entero, que según la aplicación va a versiones distintas.

Superficie de exposición

Censys reporta que hay más de 100.000 instancias de UniFi OS expuestas online, con cerca de 50.000 direcciones IP en Estados Unidos. Ese número incluye resultados históricos y posibles honeypots, pero sirve como cota inferior del universo afectado. Los productos en la lista de afectados son los que cualquier MSP o pyme con Ubiquiti tiene en el rack:

• Gateways / routers: UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, UDM-Beast, EFG, UDW, UDR, UDR7, UDR-5G, Express 7.
• Almacenamiento y vigilancia: UNVR, UNVR-Pro, UNVR-Instant, UNVR-G2, UNVR-G2-Pro, ENVR, ENVR-Core, UNAS-2/4/Pro/Pro-4/Pro-8.
• Cloud Keys y appliances de control: UCKP, UCK, UCK-Enterprise, UCG-Ultra, UCG-Max, UCG-Fiber, UCG-Industrial, EF-Core.

La advertencia de CISA de junio 2026 sobre tres CVEs previas (CVE-2026-34908, CVE-2026-34909, CVE-2026-34910, también CVSS 10.0) demostró que la ventana entre disclosure y exploitation masiva en el ecosistema Ubiquiti es corta. Bishop Fox publicó un script de detección gratuito y demostró que esos CVEs previos se pueden encadenar para RCE con privilegios elevados. La pregunta ya no es si alguien va a armar un PoC para CVE-2026-50746, es cuánto tarda.

¿Cómo proteger tu infraestructura?

1. Aplicá los parches de inmediato según el componente

El bulletin fija las versiones seguras por aplicación, no una sola versión de UniFi OS:

• UniFi OS: 5.1.19 o superior.
• UniFi Connect Application: 3.4.20 o superior (este cierra CVE-2026-50746).
• UniFi Talk: 5.2.2.
• UniFi Access: 4.2.29.
• UniFi Protect: 7.1.83.
• UniFi Network: 10.4.57.

Si administrás una flota mixta (gateways UDM + cámaras UNVR + Control Hub), verificá la versión de cada subsistema después de actualizar, porque UniFi Network y UniFi OS se actualizan por carriles separados.

2. Restringí la superficie de gestión a redes de confianza

CVE-2026-50746 requiere "network access", pero la realidad de Censys es que hay 100K gateways con la UI administrativa expuesta a Internet. Acciones concretas:

• Mové el puerto 8443 (UI de UniFi OS) y el 443 (controlador Network) a una VLAN de management con ACLs estrictos por IP de origen.
• Si necesitás acceso remoto, hacelo por VPN (WireGuard sobre el UDM) o por Cloudflare Tunnel con Access, no por un port-forward directo.
• Desactivá "Remote Access" en los gateways donde no sea estrictamente necesario (Settings → System → Remote Access).
• Si tu UDM está detrás de CGNAT, revisá igual: la "exposición" de Censys no es solo Internet público, también incluye respuestas a sondeos de universos de IP académicos / Shodan.

3. Audité configuración y cuentas de administrador

El vector S:C (scope change) del CVSS significa que el atacante puede pivotar desde UniFi Connect hacia otros componentes de UniFi OS. Después de parchear, revisá:

• Listado de cuentas admin locales y remotas: ¿hay alguna que no reconozcas?
• API keys generadas: ¿todas las activas son tuyas? Rotá las que no reconozcas.
• Reglas de firewall y VPN site-to-site: ¿se agregaron túneles que no configuraste vos?
• Cambios en VLANs: ¿hay trunks nuevos entre management y data?
• Adopciones de devices nuevas: si la red ya estaba estabilizada y aparece un dispositivo "adopted" sin intervención tuya, es una bandera roja seria.

4. Monitoreá el tráfico saliente desde UniFi OS

El command injection en UniFi Connect corre con los privilegios del servicio que opera el daemon, no del usuario admin. El tráfico de C2 desde el gateway puede ser difícil de distinguir del legítimo (Heartbeat a unifi.ui.com y a unifi-network-app), pero hay señales:

• Conexiones outbound a IPs que no pertenecen a la CDN de Ubiquiti (AS 19844 / AS 26912) saliendo del puerto 8443 o del proceso unifi-connect.
• Tráfico DNS saliente con lookups atípicos desde el gateway (los gateways UDM normalmente solo resuelven hosts de Ubiquiti y los configurados manualmente).
• Procesos hijos inesperados lanzados por unifi-connect o por el wrapper de UniFi OS: busybox httpd, curl, wget corriendo con parent inesperado.
• Logs de UniFi OS con códigos de error 500 sostenidos en endpoints de Connect: suelen ser intentos de traversal encadenado antes de la explotación efectiva.

Indicadores de compromiso (IoC)

Lo que sigue está armado desde los advisories públicos y los TTPs observables en CVEs previos de UniFi (CVE-2026-34908/909/910). No son IoCs confirmados para CVE-2026-50746, sino patrones de hunt que aplican a esta clase de fallas:

• Tráfico saliente anómalo desde gateways UDM hacia IPs que no están en el ASN de Ubiquiti (19844 / 26912), especialmente a puertos no-HTTPS (80, 8080, 4444, 8443).
• Creación de cuentas admin nuevas con timestamp posterior a la fecha de disclosure (2026-07-08) sin ticket de cambio asociado.
• Modificación de reglas de firewall o port-forward en la consola UniFi, sin change ticket.
• Adopción de devices "fantasma" en la red administrada, particularmente en zonas donde no hay despliegue físico planeado.
• API keys generadas con privilegios de super-admin fuera del flujo normal de integración.
• Servicios unifi-connect spawnando sh, bash, nc, curl o wget — comportamiento no documentado en el flujo legítimo.
• Errores 500 sostenidos en /api/connect/... antes de cualquier cambio de configuración, típicos de intentos de traversal previos a una exploitation exitosa.

Para el hunt concreto en tu EDR / SIEM, la consulta de proceso es:

# Procesos hijos inesperados lanzados por UniFi Connect
index=edr process_parent="unifi-connect*" (process_name="sh" OR process_name="bash" OR process_name="nc" OR process_name="curl" OR process_name="wget")
| stats count by host, process_parent, process_name, process_cmdline
| where count > 0

Y en el lado de red, la consulta contra NetFlow / firewall logs:

# Conexiones outbound desde gateways UDM a IPs fuera de los ASN de Ubiquiti
index=netflow src_host_category="udm-gateway" dst_asn!=19844 dst_asn!=26912 dst_port!="443,8443"
| stats sum(bytes) as total_bytes by src_ip, dst_ip, dst_port, dst_asn
| sort - total_bytes
| head 50

Si administrás más de 50 gateways UniFi, vale la pena correr el script de Bishop Fox (CVE-2026-34908-check) sobre la flota: aunque ese check apunta a los CVEs de mayo, valida la versión de UniFi OS y la exposición de la UI de gestión, que es exactamente el prerequisito para CVE-2026-50746.

Mirada IPSN: por qué este caso importa

En el último año, los CVEs de máxima severidad en UniFi pasaron de ser incidentes aislados a ser un patrón. Bulletin 062 (marzo 2026) trajo CVE-2026-22557, otro CVSS 10.0 de path traversal en el Network Controller; los bulletins 064/065 (mayo 2026) trajeron CVE-2026-34908/909/910, también CVSS 10.0; y este bulletin 066 trae CVE-2026-50746 y compañía. La señal es clara: Ubiquiti está bajo presión de disclosure y el stack de UniFi OS tiene una superficie de ataque acumulada que sigue creciendo con cada release.

Para una pyme o un MSP que tiene UniFi como columna vertebral de la red (gateway + switches + APs + cámaras + control de acceso + gestión de edificio), un RCE en uno de los componentes es un RCE sobre la red entera. La cadena de valor de un atacante después del initial access es enorme: pueden pivotar al controlador, ver todas las VLANs, abrir VPNs, mover tráfico lateral a la red corporativa, y si hay UniFi Access, abrir puertas físicas. El factor edificio (UniFi Connect controlando EV chargers e iluminación) lleva esto a una zona donde la respuesta ya no es solo del CISO — es de facility management.

Nuestra recomendación operativa, además del parche, es asumir que el control plane de UniFi OS necesita una revisión de arquitectura. Si tu gateway está con la UI expuesta, ese es el día uno a cerrar. Si la red depende de un solo controlador UniFi sin out-of-band management, ese es el día dos. Y si los updates se hacen a mano cada 90 días, ese es el día tres — un ciclo así es incompatible con un vendor que está liberando parches críticos mensuales.