Ubiquiti UniFi : 25 failles critiques, dont un CVSS 10.0

SAB-066 : 25 failles dévoilées dans toute la suite UniFi, dont une permettant la prise de contrôle sans authentification

Le 8 juillet 2026, Ubiquiti a publié son bulletin de sécurité SAB-066, un document exceptionnel par son ampleur : 25 vulnérabilités recensées d’un coup, affectant l’ensemble de son écosystème UniFi. Parmi elles, la CVE-2026-50746 se distingue par sa criticité absolue, avec un score CVSS v3.1 de 10.0 — le maximum atteignable. Cette faille touche l’application UniFi Connect dans toutes les versions antérieures à 3.4.20 et ouvre la voie à une exécution de commandes arbitraires sur le système d’exploitation hôte, sans que l’attaquant n’ait besoin de s’authentifier.

La nature de la CVE-2026-50746 est un contrôle d’accès défaillant (improper access control). En pratique, un attaquant disposant d’un simple accès réseau à un équipement vulnérable — que ce soit depuis le réseau local ou depuis Internet si l’interface est exposée — peut envoyer une requête spécialement forgée et obtenir l’exécution de commandes avec les privilèges du processus serveur. Cette classe de vulnérabilité dite pré-authentification est parmi les plus redoutées par les équipes de sécurité : elle supprime le premier rempart défensif, la nécessité de posséder un compte valide, et rend l’exploitation accessible à un attaquant sans connaissance préalable de l’environnement cible.

Les quatre autres lignes de produits concernées par SAB-066 sont tout aussi stratégiques. UniFi Talk, la solution de téléphonie IP d’Ubiquiti, présente des failles d’élévation de privilèges et d’injection de commandes. UniFi Access, qui pilote les contrôles d’accès physiques — lecteurs de badges, serrures connectées — est affecté par des vulnérabilités à CVSS 9.9 permettant une exécution de code à distance. UniFi Protect, couplé aux caméras de vidéosurveillance IP, est touché par des failles susceptibles de compromettre les flux vidéo et les enregistrements. Enfin, UniFi OS, le système d’exploitation sous-jacent à l’ensemble des appliances Ubiquiti, concentre plusieurs vulnérabilités critiques d’exécution de code et de contournement d’authentification.

La surface d’attaque est considérable. Selon les relevés de la société de threat intelligence Censys réalisés au moment de la publication de SAB-066, environ 100 000 terminaux UniFi OS sont directement joignables depuis l’Internet public. Ce chiffre représente le plancher de l’exposition : il n’intègre pas les équipements accessibles depuis des réseaux internes déjà compromis, ni ceux situés derrière des firewalls mal configurés autorisant des connexions entrantes non filtrées. Dans les environnements scolaires, hospitaliers ou industriels où UniFi est massivement déployé pour sa facilité de gestion et son coût compétitif, les délais de patch peuvent s’étendre sur plusieurs semaines.

Ubiquiti a mis à disposition des correctifs pour l’ensemble des gammes concernées. Pour UniFi Connect, la version 3.4.20 incorpore le correctif de la CVE-2026-50746. Le déploiement peut s’effectuer via le portail de gestion cloud UniFi, le contrôleur réseau auto-hébergé ou les mises à jour OTA (over-the-air) depuis l’interface web d’administration locale. La société recommande une application immédiate sans attendre la prochaine fenêtre de maintenance planifiée, compte tenu du niveau de criticité.

Pour les organisations dans l’impossibilité de patcher immédiatement, plusieurs mesures d’atténuation permettent de réduire le risque. En premier lieu, s’assurer qu’aucun port d’administration UniFi — notamment les ports TCP 8080, 8443, 8843 et 8880 — n’est exposé directement sur Internet via des règles NAT ou PAT. En second lieu, segmenter le trafic de gestion dans un VLAN d’administration dédié, inaccessible aux utilisateurs finaux et aux systèmes non autorisés. En troisième lieu, activer les alertes sur les tentatives de connexion anormales dans les journaux du contrôleur UniFi, et surveiller les requêtes réseau inhabituelles vers les interfaces de gestion.

La chronologie exacte de la découverte de ces 25 vulnérabilités n’est pas détaillée dans SAB-066. Ubiquiti n’identifie pas les chercheurs à l’origine des signalements, une pratique qui contraste avec les standards de transparence de l’industrie. La publication groupée de 25 failles suggère soit un audit de sécurité interne de grande envergure mené au cours des derniers mois, soit une coordination avec plusieurs chercheurs indépendants dans le cadre d’un programme de bug bounty dont les résultats auraient été consolidés pour une divulgation simultanée et coordonnée.

À la date de publication, aucun code d’exploitation public (PoC) n’a été identifié dans les référentiels connus — GitHub, Exploit-DB, VulDB ou les forums spécialisés. Toutefois, selon BleepingComputer et SecurityWeek, la combinaison d’une criticité maximale, d’une exploitation sans authentification et d’une exposition massive en fait un vecteur de premier plan. L’expérience des cycles précédents — notamment les failles FortiGate ou les vulnérabilités PAN-OS exploitées en 2025 — montre qu’un intervalle de deux à quatre semaines entre la divulgation et l’apparition d’exploits fonctionnels est la norme.

Pourquoi SAB-066 représente un signal d’alarme pour la sécurité des réseaux PME

L’écosystème UniFi occupe une position stratégique particulière dans le paysage réseau mondial : Ubiquiti cible délibérément le segment des PME, des collectivités et des environnements éducatifs qui n’ont pas les ressources humaines et financières d’un département IT dédié. Cette population d’utilisateurs est précisément celle qui présente les taux de mise à jour les plus faibles et les délais de réaction les plus longs face aux bulletins de sécurité. Un CVSS 10.0 sur une plateforme massivement déployée dans des environnements sous-administrés constitue donc une fenêtre d’opportunité durable pour les attaquants.

Du point de vue des attaquants, UniFi représente une cible de choix pour plusieurs raisons stratégiques. La compromission d’un contrôleur réseau offre un accès privilégié à l’ensemble du trafic d’un site : interception, réorientation, analyse passive des communications sans que les utilisateurs finaux n’en soient alertés. UniFi Protect, couplé à des systèmes de vidéosurveillance IP, peut permettre la compromission des flux de surveillance physique. UniFi Access contrôle parfois des systèmes de contrôle d’accès physique — badges NFC, serrures connectées — dont le détournement peut servir une intrusion physique coordonnée avec une attaque numérique.

Sur le plan de la supply chain numérique, les équipements UniFi sont fréquemment déployés comme infrastructures réseau dans des environnements sensibles : cabinets médicaux, études notariales, PME industrielles sous-traitantes de grands groupes. Une compromission à ce niveau sert de point de pivot vers des systèmes bien plus critiques, sans déclencher immédiatement les alertes des solutions EDR ou SIEM installées sur les postes utilisateurs. Ce schéma d’attaque — compromettre l’équipement réseau pour se mouvoir latéralement — est documenté dans plusieurs rapports d’incidents récents de groupes APT ciblant la supply chain.

SAB-066 devrait enfin servir d’impulsion pour reconsidérer la gouvernance des équipements réseau dans toutes les organisations utilisant l’écosystème Ubiquiti. Contrairement aux serveurs ou aux postes de travail, les équipements réseau font rarement l’objet d’un inventaire exhaustif dans les outils de gestion des actifs (CMDB), et leurs firmwares sont régulièrement omis lors des campagnes de patching trimestrielles. Cette asymétrie entre l’attention portée aux endpoints et celle accordée aux équipements réseau constitue l’un des angles morts les plus persistants de la cybersécurité des organisations de taille intermédiaire.

Ce qu’il faut retenir

• La CVE-2026-50746 (CVSS 10.0) permet l’exécution de commandes sans authentification sur UniFi Connect — mettre à jour vers la version 3.4.20 ou supérieure sans délai.
• 25 vulnérabilités au total affectent 5 gammes UniFi (Connect, Talk, Access, Protect, OS) : auditer l’intégralité des équipements déployés et vérifier les versions installées.
• Si le patch immédiat est impossible, isoler les interfaces d’administration dans un VLAN dédié et bloquer tout accès Internet aux ports de gestion (8080, 8443, 8843, 8880).