UniFi OS: CVE-2026-33000 wird aktiv ausgenutzt

GEFAHR für dein Heimnetz! Was vor knapp zwei Wochen als trockene Sicherheitswarnung begann, ist jetzt ein realer Angriff: Die in Ubiquiti Security Advisory Bulletin 064 beschriebene Lücke CVE-2026-33000 wird laut mehreren Berichten aktiv ausgenutzt. Betroffene UniFi-Besitzer in mehreren Ländern berichten, dass über Nacht ein fremder Super-Admin namens ‚John Sim‘ in ihrer Konsole auftauchte.

SCHOCK: Ein fremder Admin über Nacht

Die Masche ist perfide. Angreifer nutzen die Schwachstelle, um sich Zugang zu verschaffen, und legen anschließend ein eigenes Administrator-Konto an. Der Name ‚John Sim‘ taucht in mehreren unabhängigen Meldungen auf. Wer so ein Konto in seiner UniFi-Verwaltung sieht, muss vom Schlimmsten ausgehen: Das Gerät ist kompromittiert.

Die Technik: Command Injection mit CVSS 9.1

Hinter CVE-2026-33000 steckt eine unzureichende Eingabeprüfung in UniFi-OS-Geräten, die zu Command Injection führt — also dem Einschleusen eigener Befehle. Ubiquiti bewertet die Lücke mit 9.1 (kritisch). Bulletin 064 listet dazu vier weitere Schwachstellen: CVE-2026-34908, -34909, -34910 und -34911. Für die Ausnutzung ist Netzwerkzugriff nötig.

So rettest du dein Netz in 5 MINUTEN!

Das Wichtigste zuerst: Updaten, sofort. Die gepatchten Versionen:

UniFi OS Server: betroffen bis 5.0.6 — aktualisieren auf 5.0.8 oder neuer.
UDM, UDM-Pro, UDM-SE, UDM-Pro-Max, EFG, UDW, UDR, UDR7, Express 7, UNVR (Pro/Instant), ENVR, UCG-Ultra/Max/Fiber: betroffen bis 5.0.16 — auf 5.1.12 oder neuer.
UDR-5G, ENVR-Core, UCKP, UCK, UCK-Enterprise: betroffen bis 5.0.17 — auf 5.1.12 oder neuer.
UCG-Industrial: betroffen bis 5.0.13 — auf 5.1.12 oder neuer.

EXTRA-TIPP: Prüfe nach dem Update unbedingt deine Admin-Liste. Findest du einen unbekannten Account wie ‚John Sim‘, lösche ihn, ändere alle Passwörter und überlege, das Gerät neu aufzusetzen.

FAZIT: Nicht aufschieben

Aus einer Warnung ist ein laufender Angriff geworden. Wenn deine UniFi-Hardware aus dem Internet erreichbar ist, zählt jede Stunde. Update jetzt — und kontrolliere, wer in deiner Konsole das Sagen hat.

Häufige Fragen

Welche Geräte sind betroffen?

Praktisch die gesamte aktuelle UniFi-OS-Palette: UDM- und UCG-Reihe, UNVR/ENVR, Express 7, UDR-Modelle, die UniFi-Cloud-Keys sowie UniFi OS Server. Die genauen verwundbaren Versionsstände und Zielversionen stehen in Ubiquitis Bulletin 064.

Wie merke ich, ob ich schon angegriffen wurde?

Das deutlichste Zeichen ist ein fremder Admin-Account in deiner UniFi-Verwaltung — in den aktuellen Fällen heißt er ‚John Sim‘. Prüfe außerdem ungewöhnliche Anmeldungen und Konfigurationsänderungen. Im Zweifel das Gerät als kompromittiert behandeln.

Wie behebe ich das Problem konkret?

Aktualisiere UniFi OS sofort auf die gepatchte Version (5.1.12 bzw. 5.0.8 je nach Gerät). Danach Admin-Liste säubern, alle Passwörter ändern, möglichst 2FA aktivieren und die Verwaltungsoberfläche nicht ungeschützt ins Internet hängen.

Gab es schon aktive Angriffe?

Ja. Wenige Tage nach der Veröffentlichung von Bulletin 064 berichteten Nutzer aus mehreren Ländern über den heimlich angelegten Super-Admin. Die Lücke gilt damit als aktiv ausgenutzt — Patchen hat höchste Priorität.

Quellen: Ubiquiti Bulletin 064 · ToolsLib · ShiftCTRL

UNIFI-NOTSTAND! Hacker legen JETZT heimlich den Admin ‚John Sim‘ in deiner Konsole an