Ubiquiti airMAX M: Cross-Site Request Forgery führt zu Command Injection
Zusammenfassung
Ubiquiti-airMAX-M-Geräte sind von einer Cross-Site Request Forgery (CSRF) Schwachstelle betroffen (CWE-352). Ein Angreifer, der einen angemeldeten Administrator auf eine manipulierte Webseite lockt, kann auf dem Gerät eine Command Injection ausführen. Für den Angriff ist keine Netzwerkposition nötig, aber ein angemeldeter Benutzer muss die manipulierte Seite aufrufen. Die CNA bewertet die Schwachstelle mit CVSS 8.8, VulDB mit 4.3.
Betroffen
- airMAX M Versionen 0 bis unter 6.3.26 laut CNA-Eintrag (CVE Program)
- VulDB listet Versionen bis 6.3.25; der genaue Bereich im Herstellerbulletin konnte nicht vollständig geprüft werden
Behoben in
- Version 6.3.26 oder neuer laut OffSeq und VulDB
- Vor dem Vertrauen auf diese Angabe das Herstellerbulletin für die genaue korrigierte Version prüfen
Umgehung
- Keine vom Hersteller bestätigte Massnahme bekannt.
- Bis zum Update den Zugriff auf die Weboberfläche auf bekannte IP-Adressen oder ein VPN beschränken.
- Administrative Browsersitzungen einschränken. Dies ist ein nicht verifizierter Vorschlag eines Drittanbieters.
Ausnutzung
- Laut OffSeq nicht als ausgenutzt bekannt.
- Laut Strix nicht im CISA-KEV-Katalog aufgeführt.
- Kein öffentlicher Proof of Concept gefunden.
- VulDB kennzeichnet den Eintrag als 0-Day, was wahrscheinlich eine Angabe zum Zeitpunkt der Veröffentlichung ist und keine Ausnutzung bestätigt.
Unsere Empfehlung
- Alle airMAX-M-Geräte und deren Firmware-Versionen erfassen.
- Herstellerbulletin prüfen und auf 6.3.26 oder neuer aktualisieren.
- Administrativen Zugriff auf vertrauenswürdige Netze oder ein VPN beschränken.
- Das Administrations-Notebook nicht für allgemeines Surfen im Web verwenden.
- Aus dem Internet erreichbare Geräte priorisieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Ubiquiti Security Advisory Bulletin 071 uisp.community.ui.com
- VulDB CVE-2026-116838 vuldb.com
- VulDB vulnerability 427036 vuldb.com
- OffSeq Radar CVE-2026-116838 radar.offseq.com
- Strix CVE-2026-116838 www.strix.ai
- threatint CVE-2026-116838 cve.threatint.com
- OpenCVE CVE-2026-116838 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 10:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.