Ubiquiti ha corretto 22 vulnerabilità nel suo ecosistema UniFi, comprese tre falle con punteggio CVSS 10.0. Dream Machine, Cloud Key, NVR, UniFi Protect e altri prodotti possono essere coinvolti: ecco quali versioni controllare e cosa aggiornare.
Se utilizzi Ubiquiti UniFi a casa, in ufficio o per un impianto di videosorveglianza, questo è uno di quegli aggiornamenti che non conviene ignorare.
Il Security Advisory Bulletin 067 pubblicato da Ubiquiti il 26 agosto 2026 raccoglie 22 vulnerabilità, 21 delle quali classificate Critical. Alcune interessano direttamente UniFi Protect e UniFi OS e possono essere sfruttate attraverso la rete senza autenticazione e senza richiedere alcuna azione da parte dell’utente.
La cosa importante, però, non è capire nel dettaglio tutte le 22 CVE.
La domanda da porsi è molto più semplice:
il mio dispositivo UniFi utilizza ancora una versione vulnerabile?
La risposta dipende dal prodotto e dall’applicazione installata.
Quali prodotti UniFi devono essere controllati
Il bollettino riguarda una parte molto ampia dell’ecosistema Ubiquiti. Non significa che ogni singolo dispositivo presenti tutte le 22 vulnerabilità, ma che diverse falle interessano differenti componenti software e hardware.
Tra i prodotti e servizi coinvolti troviamo:
- UniFi Protect;
- UniFi OS Server;
- Cloud Key;
- Network Video Recorder;
- Enterprise Network Video Recorder;
- Dream Machine;
- Dream Router;
- Dream Wall;
- Cloud Gateway;
- Enterprise Fortress Gateway;
- Network Attached Storage;
- UniFi Network;
- UniFi Connect;
- UniFi Access;
- UniFi Talk;
- UniFi Protect AI Key;
- UID Enterprise Agent;
- UniFi Connect Display Cast Pro;
- UniFi Enterprise Audio/Video Bridge;
- UniFi Express.
Anche NHS England Digital ha pubblicato un avviso dedicato, sottolineando che il problema coinvolge un’ampia gamma di dispositivi UniFi e non soltanto il sistema di videosorveglianza Protect.
UniFi: quali versioni sono sicure
La verifica più utile consiste nel confrontare la versione installata con quella indicata da Ubiquiti come mitigazione.
| Prodotto o applicazione | Versione da installare almeno |
|---|---|
| UniFi Protect | 7.2.105 |
| UniFi OS Server | 5.1.37 |
| Cloud Key | 5.1.31 |
| Network Video Recorder / UNVR | 5.1.31 |
| Enterprise Network Video Recorder | 5.1.31 |
| Enterprise Network Attached Storage | 5.1.31 |
| Dream Machine | 5.1.31 |
| Dream Router | 5.1.31 |
| Dream Wall | 5.1.31 |
| Cloud Gateway | 5.1.31 |
| Enterprise Firewall Core | 5.1.31 |
| Enterprise Fortress Gateway | 5.1.31 |
| Express 7 | 5.1.31 |
| Network Attached Storage | 5.1.32 |
| UniFi Express | 4.0.17 |
| UniFi Network | 10.5.67 |
| UniFi Connect | 3.24.22 |
| UID Enterprise Agent | 1.62.1 |
| UniFi Access | 4.3.5 |
| Display Cast Pro | 1.0.111 |
| Enterprise Audio/Video Bridge | 1.0.11 |
| UniFi Talk | 5.3.2 |
| UniFi Protect AI Key | 2.2.6 |
Sono le versioni indicate nel Security Advisory Bulletin 067 per mitigare le vulnerabilità associate ai vari componenti. Prima di effettuare modifiche in un ambiente aziendale o in un sistema di videosorveglianza in produzione conviene comunque controllare nuovamente l’advisory ufficiale Ubiquiti, perché il produttore può aggiornare il bollettino.
Le tre vulnerabilità UniFi più gravi hanno CVSS 10.0
Tre vulnerabilità raggiungono il punteggio massimo CVSS 10.0.
La prima è CVE-2026-77537 e riguarda UniFi Protect.
Ubiquiti la descrive come una vulnerabilità di improper input validation che può consentire a un attaccante con accesso alla rete di eseguire una command injection sul dispositivo host.
Non richiede privilegi e non richiede interazione dell’utente.
Sono interessate le versioni di UniFi Protect 7.1.87 e precedenti; la mitigazione indicata è l’aggiornamento alla 7.2.105 o successiva.
La seconda è CVE-2026-77550, ancora più importante per chi utilizza gateway e console UniFi.
Si tratta di una vulnerabilità legata alla gestione delle sequenze CRLF che, secondo Ubiquiti, può permettere a un attaccante con accesso alla rete di bypassare l’autenticazione di determinati dispositivi o istanze UniFi OS.
Il punteggio è CVSS 10.0, con attacco via rete, bassa complessità, nessun privilegio richiesto e nessuna interazione da parte dell’utente.
La terza è CVE-2026-77554, relativa a UniFi Talk.
Anche in questo caso si tratta di una command injection utilizzabile attraverso la rete senza privilegi e senza interazione dell’utente.
Sono vulnerabili le versioni UniFi Talk 5.2.7 e precedenti e Ubiquiti raccomanda il passaggio alla 5.3.2 o successiva.
Hai una Dream Machine? Controlla soprattutto UniFi OS
Chi possiede una Dream Machine, Dream Router, Dream Wall, Cloud Gateway, Cloud Key o NVR deve prestare particolare attenzione alle vulnerabilità relative a UniFi OS.
Per CVE-2026-77550 il bollettino indica come corretta almeno la versione:
UniFi OS 5.1.31
per Dream Machine, Cloud Key, NVR e buona parte delle appliance interessate.
Ci sono però alcune eccezioni:
- UniFi OS Server: 5.1.37 o successiva;
- Network Attached Storage: 5.1.32 o successiva;
- UniFi Express: 4.0.17 o successiva.
Ecco perché limitarsi al consiglio generico “aggiorna UniFi” può essere fuorviante: bisogna verificare esattamente quale console o applicazione stai utilizzando.
Come controllare la versione installata su UniFi
Ubiquiti centralizza oggi la gestione degli aggiornamenti nell’Update Manager.
Puoi accedervi attraverso UniFi Site Manager oppure direttamente dalla gestione locale della console.
Una volta aperto il tuo sito UniFi:
- entra in Settings;
- apri Control Plane;
- seleziona Updates;
- controlla separatamente UniFi Console e le applicazioni installate;
- confronta le versioni con quelle riportate nella tabella precedente.
Per i dispositivi UniFi, gli aggiornamenti possono trovarsi anche nelle impostazioni della relativa applicazione.
Ubiquiti permette inoltre di scegliere il canale di rilascio e configurare gli aggiornamenti automatici.
Prima dell’aggiornamento fai un backup
In un piccolo impianto domestico l’aggiornamento può essere relativamente semplice.
Su una rete aziendale, un sistema con molte telecamere o un’installazione Access/Protect in produzione, invece, è meglio non procedere alla cieca.
Prima dell’upgrade controlla il backup.
Ubiquiti permette di creare backup completi che comprendono configurazione del sistema operativo, applicazioni e dispositivi.
Il percorso indicato dalla documentazione ufficiale è:
Settings > Control Plane > Backups
Da qui puoi verificare i backup automatici oppure scaricare un backup offline.
Ubiquiti specifica inoltre che, quando i backup automatici sono attivi, viene generato normalmente un backup cloud settimanale e prima degli aggiornamenti principali.
È particolarmente importante in questo momento perché alcuni utenti della community hanno segnalato regressioni e problemi operativi dopo recenti aggiornamenti di Protect e Access.
Sono esperienze individuali e non dimostrano che gli aggiornamenti correttivi siano generalmente instabili, ma spiegano perché negli ambienti professionali sia sensato avere un backup verificato e una finestra di manutenzione, invece di aggiornare nel mezzo dell’orario operativo.
Aggiornare o aspettare perché il sistema funziona bene?
Con vulnerabilità di questo livello, rimandare l’aggiornamento soltanto perché “oggi funziona tutto” non è una strategia che consiglierei.
La priorità deve essere la sicurezza.
Una vulnerabilità con CVSS 10.0 non significa automaticamente che qualcuno stia già attaccando il tuo impianto, ma indica che l’impatto potenziale e le condizioni tecniche di sfruttamento sono particolarmente serie.
La community Ubiquiti sta discutendo molto proprio di questo dilemma: frequenti patch di sicurezza da una parte, timore di regressioni dall’altra. Il thread dedicato al nuovo bollettino ha raccolto centinaia di voti e molte discussioni nelle prime ore.
La soluzione ragionevole è quindi:
backup, verifica della versione, aggiornamento ufficiale e controllo del sistema dopo l’upgrade.
Non ignorare la patch.
Le vulnerabilità UniFi vengono già sfruttate?
Al momento della pubblicazione di questa guida, non abbiamo trovato conferme affidabili che le tre vulnerabilità CVE-2026-77537, CVE-2026-77550 e CVE-2026-77554 siano già sfruttate attivamente in attacchi reali.
Questo punto è importante.
“Vulnerabilità critica” e “vulnerabilità attivamente sfruttata” non significano la stessa cosa.
Una CVE può rappresentare un rischio molto serio anche prima della comparsa di exploit pubblici o campagne di attacco.
Per CVE-2026-77549, ad esempio, i dati CISA associati alla vulnerabilità riportano al momento Exploitation: none e la vulnerabilità non compare nel catalogo KEV. Anche fonti che seguono il bollettino 067 non riportano per ora sfruttamento attivo delle nuove falle.
È però una situazione da monitorare rapidamente.
Ubiquiti ha già avuto vulnerabilità precedenti entrate nel radar CISA per sfruttamento attivo: non avrebbe quindi senso aspettare che una falla venga utilizzata in attacchi reali prima di installare una patch già disponibile.
Se non puoi aggiornare subito
Ci sono ambienti in cui non è possibile aggiornare immediatamente: videosorveglianza attiva 24 ore su 24, controllo accessi, uffici, strutture commerciali o reti gestite da un fornitore esterno.
In quel caso riduci almeno temporaneamente la superficie di attacco.
In particolare:
- limita l’accesso alle interfacce di amministrazione alle reti realmente necessarie;
- evita di pubblicare direttamente pannelli amministrativi UniFi su Internet;
- controlla eventuali regole di port forwarding;
- limita gli account con privilegi amministrativi;
- verifica eventuali accessi o attività anomale;
- programma l’aggiornamento appena possibile.
Questo non sostituisce la patch.
Serve soltanto come mitigazione temporanea.
Ubiquiti offre anche una modalità di gestione locale: una console UniFi può essere amministrata direttamente dalla rete locale inserendo nel browser l’indirizzo IP del control plane, senza che sia necessario esporre direttamente l’interfaccia amministrativa a Internet.
Se stai rivedendo più in generale la protezione del tuo impianto IoT, può essere utile anche la nostra guida su come rendere più sicura la rete domestica e i dispositivi smart, dove affrontiamo segmentazione della rete, aggiornamenti firmware e separazione dei dispositivi IoT.
UniFi Protect merita un controllo separato
Chi utilizza telecamere UniFi dovrebbe controllare separatamente l’applicazione Protect, anche se la console UniFi OS risulta aggiornata.
Sono due componenti differenti.
Per le vulnerabilità del nuovo bollettino, UniFi Protect 7.1.87 e versioni precedenti devono essere aggiornate almeno alla 7.2.105.
Questa distinzione è fondamentale perché aggiornare UniFi OS non significa automaticamente poter ignorare la versione dell’applicazione Protect.
Un principio simile vale per molti dispositivi smart presenti sulla stessa rete: quando qualcosa smette di comunicare dopo una modifica di rete o un aggiornamento, prima di eseguire reset drastici conviene capire se il problema riguarda dispositivo, rete o piattaforma di gestione. Lo abbiamo spiegato anche nella guida dedicata ai dispositivi che risultano offline in Google Home.
Quindi devi aggiornare UniFi subito?
Se la versione che utilizzi compare tra quelle vulnerabili indicate dal Security Advisory Bulletin 067, sì: l’aggiornamento va considerato prioritario.
Non serve allarmarsi né spegnere immediatamente l’intera infrastruttura.
Serve invece controllare adesso:
- quale console UniFi utilizzi;
- quale versione di UniFi OS è installata;
- quali applicazioni sono attive;
- se Protect, Network, Access, Talk o Connect sono sotto la versione corretta;
- se esiste un backup recente;
- se le interfacce amministrative sono inutilmente raggiungibili da Internet.
Poi aggiorna utilizzando esclusivamente i pacchetti e i canali ufficiali Ubiquiti.
Il bollettino 067 è uno di quei casi in cui la versione installata conta molto più del nome del dispositivo: due utenti con una Dream Machine possono trovarsi in una situazione completamente diversa semplicemente perché uno ha già UniFi OS 5.1.31 e l’altro no.
Ed è proprio questo il controllo che conviene fare prima di tutto.
