CVE-2026-34910

Falha de validação de entrada (CWE-20) em UniFi OS que permite injeção de comando remota, sem autenticação, contra vários dispositivos da linha (roteadores/gateways UCG, gravadores ENVR/UNVR, EFG, Express 7). O CVSS 10.0 reflete corretamente o pior caso: qualquer atacante com acesso de rede ao dispositivo pode chegar a execução de comando como root. Está no catálogo KEV da CISA com exploração confirmada em massa, usada para distribuir um bot derivado de Mirai — isso pesa mais na priorização do que o número isolado do CVSS.

A descrição oficial da Ubiquiti (via SAB-064) classifica a falha como Improper Input Validation levando a Command Injection, sem detalhar o endpoint ou parâmetro vulnerável — típico de advisory de fornecedor. Análise independente de reverse engineering (blog PwnDefend/Xservus, marcada explicitamente como reconstrução via decompilação e LLM, não confirmação do fornecedor) indica que o ponto de injeção fica num endpoint de atualização de pacotes acessado via rota proxy interna, algo como /api/auth/validate-sso/..%2f..%2f..%2fproxy/users/api/v2/ucs/update/latest_package, onde um parâmetro pkg_name (possivelmente combinado com um flag by_cmd=true) é passado para um shell (/bin/sh -c) sem sanitização de metacaracteres ($ ( ) ; | \ &).

Essa reconstrução não é confirmada oficialmente pela Ubiquiti e deve ser tratada como hipótese técnica plausível, não como fato documentado. O que é fato: o CVSS vetor (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) diz que a exploração não exige autenticação nem interação do usuário, é de baixa complexidade e compromete confidencialidade, integridade e disponibilidade por completo — consistente com execução de comando arbitrário no sistema operacional do dispositivo.

O mesmo boletim SAB-064 lista outras quatro vulnerabilidades correlatas (entre elas CVE-2026-34908, bypass de controle de acesso/path traversal em rota proxy não autenticada, e CVE-2026-34909, path traversal via alias do nginx). Pesquisadores observaram exploração combinando parte de uma CVE com parte de outra — o que dificulta atribuir com precisão qual comportamento pertence exatamente à CVE-2026-34910 isoladamente, já que o fornecedor não publicou PoC nem trace de código.

A CISA confirma exploração ativa (entrada no KEV, adicionada em 23/06/2026, com prazo de correção de apenas 3 dias — 26/06/2026 — sinal de exploração em massa e não de risco teórico). O blog PwnDefend/Xservus documentou, a partir de honeypots, uma cadeia de ataque real: uma única requisição HTTP explora primeiro o bypass de autenticação/traversal (CVE-2026-34908) para alcançar a rota interna de atualização de pacotes, depois injeta comando via o parâmetro pkg_name (mecanismo atribuído à CVE-2026-34910) para obter execução arbitrária como root, sem qualquer credencial.

O payload observado nessa campanha é um loader multi-arquitetura (via wget/curl/tftp) que baixa um implante derivado de Mirai/Gafgyt identificado como 'azsxd' (v2.0), destinado a formar uma botnet DDoS. Não há evidência nas fontes de que a exploração exija configuração não padrão do dispositivo — o pré-requisito real é apenas acesso de rede à interface de gerência do UniFi OS (exposição à internet ou a uma rede não segmentada), o que explica a gravidade prática.

Vale a ressalva: como o mecanismo exato do parâmetro/endpoint vulnerável vem de engenharia reversa não confirmada pelo fornecedor, é possível que variações do payload usem rotas ou parâmetros diferentes dos documentados — o que os defensores devem monitorar é o padrão de comportamento (traversal + chamada a endpoint de update de pacote), não uma assinatura fixa.

A ação oficial (CISA/fornecedor) é aplicar a atualização do UniFi OS conforme o boletim SAB-064 da Ubiquiti. As fontes disponíveis não trazem uma tabela de versão afetada/corrigida específica para CVE-2026-34910 isoladamente — o boletim agrupa cinco falhas, e a única tabela de versões documentada nas fontes lidas (UCG-Industrial ≤5.0.13; UDM/UDM-Pro/UDM-SE/UDM-Pro-Max/EFG/UDW/UDR/UDR7/Express 7/UNVR-família/ENVR/UCG-Ultra/UCG-Max/UCG-Fiber ≤5.0.16; UDR-5G/ENVR-Core/UCKP/UCK/UCK-Enterprise ≤5.0.17; UniFi OS Server ≤5.0.6; UNVR-G2/UNVR-G2-Pro ≤5.1.11; UDM-Beast/UNAS-família ≤5.1.8, todas corrigidas nas versões subsequentes citadas) está atribuída explicitamente à CVE-2026-34908 irmã do mesmo boletim, não confirmada como idêntica para a 34910. Trate-a como forte indício de que o mesmo ciclo de atualização corrige ambas, mas confirme a versão exata para cada modelo diretamente no advisory oficial antes de fechar o ticket.

Se a atualização não for possível de imediato, o controle compensatório real é isolar a interface de gerência do UniFi OS de qualquer rede não confiável (sem exposição direta à internet, com acesso restrito por firewall/VPN a operadores autorizados) — dado que o vetor é AV:N/PR:N/UI:N, qualquer redução de superfície de rede elimina a maior parte do risco prático. Não há mitigação por configuração dentro do próprio UniFi OS documentada nas fontes; desativar recursos de UI ou trocar senha administrativa não resolve, porque a exploração observada dispensa autenticação.

A cadeia de exploração observada em honeypots (PwnDefend/Xservus) é detectável em três camadas: assinatura de URI característica no tráfego (padrão de traversal seguido de chamada à rota de atualização de pacote com o parâmetro pkg_name), padrão de processo com binário deletado no host (comportamento típico de implantes Mirai que se auto-removem do disco após execução), e regra YARA para o implante identificado como 'azsxd' v2.0. Existe também template Nuclei público associado à CVE, útil para varredura de exposição — mas não substitui monitoramento de tráfego, já que a exploração real observada combina duas CVEs distintas do mesmo boletim, o que pode gerar variações no padrão exato da requisição.