Kerngegevens
- Leverancier
- Ubiquiti
- Product
- UniFi Protect AI Key
- Soort software
- netwerk
- Getroffen versies
- UniFi Protect AI Key ouder dan 2.2.8
- Oplossing
- Update beschikbaar
- Opgeloste versie
- UniFi Protect AI Key 2.2.8
- CVE gepubliceerd
- 14 oktober 2026
- Gepubliceerd op LekkenRadar
- 14 oktober 2026
- Laatst gewijzigd bij NVD
- 15 oktober 2026
Simpel uitgelegd
Wat is er aan de hand?
In de UniFi Protect AI Key van Ubiquiti zit een fout in de controle van invoer. Daardoor kan een aanvaller onder bepaalde omstandigheden eigen commando's laten uitvoeren op het apparaat. Dit heet een commando-injectie.
Wie loopt risico?
Het risico geldt voor jou als je een UniFi Protect AI Key gebruikt met een versie ouder dan 2.2.8. De aanvaller moet toegang hebben tot het netwerk waarop het apparaat bereikbaar is. Er is geen inlog of handeling van een gebruiker nodig, maar de aanval slaagt alleen onder bepaalde voorwaarden. Volgens de gegevens wordt dit lek niet actief misbruikt en is er geen openbare exploit bekend.
Wat moet je doen?
Controleer de versie van je AI Key
Kijk in UniFi Protect welke versie je UniFi Protect AI Key draait. Versies ouder dan 2.2.8 zijn getroffen.
Update naar 2.2.8 of nieuwer
Werk de AI Key bij naar versie 2.2.8 of nieuwer. Ubiquiti beschrijft het lek in Security Advisory Bulletin 070 (zie bronnen). In hetzelfde bulletin staat ook CVE-2026-110459, dat met dezelfde update wordt opgelost.
Beperk de blootstelling
Zorg dat je UniFi Protect AI Key alleen bereikbaar is vanaf netwerken die je vertrouwt. Zet het apparaat niet rechtstreeks op internet en scheid het waar mogelijk van andere apparatuur.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek wordt veroorzaakt door onjuiste validatie van invoer (CWE-20) in de UniFi Protect AI Key. Een aanvaller kan hierdoor een commando-injectie uitvoeren op het apparaat. De aanval verloopt via het netwerk en vereist geen inloggegevens en geen interactie van een gebruiker. De aanvalscomplexiteit is hoog, omdat er bepaalde omstandigheden nodig zijn. Bij succes kan de vertrouwelijkheid, integriteit en beschikbaarheid van het apparaat volledig worden aangetast. De CVSS-score van 8,1 is afkomstig van de CNA.
CVSS-vector (versie 3.1, basisscore 8,1, bron: CNA)
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H- Zwakheid (CWE)
- CWE-20 · Onjuiste invoervalidatie
- Aanvalsroute
- Via het netwerk of internet
- EPSS, kans op misbruik binnen 30 dagen
- 1,2%
- Aanvalscode openbaar
- Nee