CVE-2026-22564 : accès SSH non autorisé UniFi Play (9.8)

Les faits

CVE-2026-22564, publiée le 13 avril 2026, est une vulnérabilité critique notée 9.8 sur l'échelle CVSS v3.1 affectant les équipements audio connectés Ubiquiti UniFi Play PowerAmp et UniFi Play Audio Port. Classée CWE-284 (Improper Access Control), la faille permet à un acteur malveillant disposant d'un accès réseau à l'environnement UniFi Play d'activer le service SSH sur les appareils sans aucune autorisation préalable. Le vecteur CVSS (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) confirme que l'exploitation est possible depuis le réseau, sans privilèges, sans interaction utilisateur et avec une complexité d'attaque basse. Ubiquiti a documenté cette vulnérabilité dans son bulletin de sécurité Security Advisory Bulletin 056, qui couvre également plusieurs autres CVE affectant la gamme UniFi Play (CVE-2026-22562, CVE-2026-22563, CVE-2026-22565, CVE-2026-22566).

Cette vulnérabilité s'inscrit dans un lot de cinq failles découvertes simultanément dans la gamme UniFi Play, incluant un path traversal (CVE-2026-22562, CVSS 9.8), une faille de validation d'entrée (CVE-2026-22565) et d'autres problèmes de contrôle d'accès. L'ensemble de ces vulnérabilités compromet sérieusement la posture de sécurité des déploiements UniFi Play non mis à jour. Ubiquiti a publié les correctifs le même jour que la divulgation publique.

Impact et exposition

Les équipements UniFi Play sont déployés dans des environnements professionnels variés : hôtels, restaurants, espaces de coworking, commerces et bureaux d'entreprise. L'activation non autorisée de SSH donne à l'attaquant un accès shell complet à l'équipement, ce qui permet la modification de la configuration système, l'installation de logiciels malveillants, l'interception du trafic réseau transitant par l'appareil et le pivot vers d'autres équipements du réseau. Dans de nombreuses installations, les équipements UniFi Play partagent le même VLAN que le reste de l'infrastructure réseau, ce qui amplifie considérablement la surface d'attaque. Un attaquant ayant compromis un seul équipement audio peut potentiellement accéder à l'ensemble du réseau de l'organisation. La criticité est d'autant plus élevée que ces appareils IoT sont souvent négligés dans les politiques de mise à jour et de supervision.

Recommandations immédiates

• Mettre à jour immédiatement les firmwares : UniFi Play PowerAmp vers la version 1.0.38 ou ultérieure, UniFi Play Audio Port vers la version 1.1.9 ou ultérieure via la console UniFi Network
• Isoler les équipements UniFi Play dans un VLAN dédié avec des règles de pare-feu restrictives interdisant toute communication vers les segments réseau sensibles
• Vérifier que le service SSH n'est pas activé de manière illégitime sur vos appareils existants via la console de gestion UniFi
• Auditer les journaux réseau pour détecter des connexions SSH suspectes vers les équipements UniFi Play (port TCP 22)
• Appliquer également les correctifs pour les CVE associées (CVE-2026-22562, CVE-2026-22563, CVE-2026-22565, CVE-2026-22566) documentées dans le même bulletin Ubiquiti

Décomposition technique du vecteur CVSS

Le score de 9.8 attribué à CVE-2026-22564 résulte d'une combinaison de facteurs aggravants rarement réunis simultanément. Le vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H signifie qu'aucune authentification préalable n'est requise (PR:N), que l'attaque ne nécessite aucune interaction de la victime (UI:N) et que la complexité technique de l'exploitation reste faible (AC:L). Concrètement, un attaquant positionné sur le même segment réseau que l'équipement UniFi Play — via un accès Wi-Fi invité mal cloisonné, un port Ethernet accessible physiquement ou une machine déjà compromise sur le LAN — peut interagir directement avec le service de gestion exposé par PowerAmp ou Audio Port pour forcer l'activation du démon SSH, normalement désactivé par défaut sur ces appareils. Le contrôle d'accès défaillant (CWE-284) ne vérifie ni l'origine de la requête ni les privilèges de l'émetteur, ce qui transforme une simple requête réseau non authentifiée en porte dérobée persistante.

Une fois SSH activé, l'impact se répartit intégralement sur les trois piliers de la triade CIA (C:H/I:H/A:H) : lecture de la configuration et des flux audio/réseau traités par l'appareil, modification du firmware ou des règles de routage local, et disponibilité compromise si l'attaquant décide de rendre l'équipement inopérant. Ce profil rapproche CVE-2026-22564 d'autres vulnérabilités IoT critiques déjà documentées sur des équipements de diffusion audio et de signalétique connectée, où l'absence de segmentation réseau reste le facteur de risque numéro un, bien davantage que la complexité intrinsèque de la faille.

Détection et outillage

Pour identifier une exploitation en cours, les administrateurs doivent surveiller l'apparition inattendue du port TCP 22 ouvert sur les adresses IP attribuées aux équipements UniFi Play, absente en configuration par défaut. Un scan interne avec nmap -p 22 --open sur les plages IP dédiées à l'infrastructure UniFi Play permet un contrôle rapide. Le contrôleur UniFi Network centralise également les journaux d'activation de services : toute entrée relative à un changement d'état SSH non initié par un administrateur doit être traitée comme un indicateur de compromission. Côté exposition externe, une vérification via Shodan ou Censys sur les IP publiques associées au réseau permet de confirmer qu'aucun de ces équipements n'est directement joignable depuis Internet, scénario qui aggraverait considérablement la surface d'attaque au-delà du périmètre local initialement documenté par Ubiquiti.