O fato: a Ubiquiti publicou o Security Advisory Bulletin 067 no fim de agosto de 2026. O Centro Canadense de Segurança Cibernética registrou o boletim em 26 de agosto (aviso AV26-850), e o NHS England Digital, em 27 de agosto. As falhas permitem, segundo esses resumos, injeção de comandos, desvio de autenticação e elevação de privilégios em produtos UniFi.
O que fazer: atualizar o console (UniFi OS), os aplicativos (Network, Protect, Access) e equipamentos como o UniFi Express para as versões listadas no boletim, e deixar a gerência acessível só por uma rede separada.
O que o boletim 067 cobre
A linha UniFi é um ecossistema: um console (como o UniFi Express ou um gateway) roda o UniFi OS e, sobre ele, aplicativos como o Network (Wi-Fi e rede), o Protect (câmeras) e o Access (controle de portas). Uma falha no console ou num aplicativo pode dar acesso a toda a rede gerenciada.
Segundo o aviso canadense e a análise da Censys, estão entre os afetados:
| Produto | Versões afetadas |
|---|---|
| UniFi OS Server | 5.1.21 e anteriores |
| UniFi Network Application | 10.4.57 e anteriores |
| UniFi Protect Application | 7.1.87 e anteriores |
| UniFi Access Application | 4.3.3 e anteriores |
| UniFi Express | 4.0.16 e anteriores |
A lista também inclui UniFi Connect, UniFi Talk, UID Enterprise Agent e outros produtos menos comuns em pequenos escritórios. Para o UniFi Express, a Censys aponta a versão 4.0.17 como corrigida e lembra que o UniFi Express e o UniFi Express 7 são produtos diferentes, com numeração de versão própria.
O NHS England Digital descreve o boletim como um conjunto de 22 itens de produtos afetados. A Censys destaca entre as falhas a CVE-2026-77550, um desvio de autenticação no UniFi OS que pode ser explorado por quem tem acesso de rede ao equipamento.
Por que isso importa para o escritório pequeno
Os UniFi são populares em empresas pequenas porque um único painel controla Wi-Fi, switches, gateway e câmeras. O outro lado dessa praticidade é que o painel vira um alvo valioso: quem entra nele pode mudar a rede inteira, ver câmeras ou abrir portas.
Dois cenários pedem atenção especial:
- Console com acesso pela internet, liberado para o técnico ou para o dono olhar as câmeras de fora.
- Rede sem separação, em que visitantes, câmeras e computadores ficam na mesma faixa de IPs do console.
Passo a passo para atualizar
- Faça backup da configuração do UniFi Network pelo próprio painel.
- Anote as versões atuais do UniFi OS e de cada aplicativo instalado (Network, Protect, Access).
- Compare com o boletim. Se a sua versão é igual ou menor que as da tabela acima, atualize.
- Atualize primeiro o UniFi OS, depois os aplicativos, e por fim os equipamentos (pontos de acesso, switches), seguindo a ordem que o próprio painel sugere.
- Confira os boletins seguintes. A Ubiquiti publica boletins com frequência; o canadense registrou outro em setembro (AV26-954, boletim 069). Acompanhe o feed oficial.
Como conferir as versões
No painel do UniFi, a versão do console aparece nas configurações do sistema, e a de cada aplicativo aparece na lista de aplicativos instalados. Anote numa tabela simples, antes e depois da atualização:
| Item | Versão antes | Versão depois |
|---|---|---|
| UniFi OS (console) | ||
| UniFi Network | ||
| UniFi Protect (se usar câmeras) | ||
| UniFi Access (se usar portas) |
Guardar esse registro ajuda a responder rápido quando sair o próximo boletim: basta comparar a sua versão com a lista nova.
Depois de atualizar
- Confira os administradores. Veja se só as pessoas certas têm acesso ao painel.
- Revise as regras de acesso remoto e as portas abertas no gateway.
- Observe a rede por alguns dias. Equipamentos que somem e voltam, ou configurações que mudam sozinhas, merecem investigação.
A conta: uma rede só para a gerência
Uma boa prática é colocar o console e a interface de gerência dos equipamentos numa rede (VLAN) separada, acessível só pelos computadores de quem administra. Os visitantes e os aparelhos comuns não chegam lá.
Para 10 equipamentos de gerência (console, switches, pontos de acesso e dois computadores de administração), a menor rede que cabe é:
| Item | Valor |
|---|---|
| Endereços necessários | 10 + rede + broadcast = 12 |
| Prefixo | /28 |
| Máscara | 255.255.255.240 |
| Aparelhos que cabem | 14 (sobram 4) |
| Exemplo | 10.10.99.0/28, de 10.10.99.1 a 10.10.99.14 |
Compare com a rede dos usuários: para 80 aparelhos, seria uma /25, com 126 endereços. Mantendo a gerência numa /28 separada, só 14 endereços possíveis chegam ao console, e não os 126 da rede dos usuários.
Depois, crie uma regra no gateway para que só essa rede acesse o console. Os guias como dividir a rede de uma pequena empresa em sub-redes e como separar o Wi-Fi de visitantes ajudam a montar o resto.
Acesso remoto com menos risco
Se você precisa ver câmeras ou administrar a rede de fora do escritório:
- Prefira o acesso pela nuvem oficial ou por VPN em vez de abrir portas do console para a internet.
- Ative a verificação em duas etapas na conta de administração.
- Use contas separadas para cada pessoa, sem compartilhar a senha do dono.
- Remova acessos de técnicos e ex-funcionários que não precisam mais.
Perguntas rápidas
Tenho só pontos de acesso UniFi, sem console. Preciso fazer algo?
Os pontos de acesso são gerenciados por um aplicativo UniFi Network, instalado num console ou num computador. É esse aplicativo que precisa estar na versão corrigida.
A atualização derruba a rede?
Durante a atualização do console e dos equipamentos, a rede pode ficar alguns minutos fora. Faça fora do horário de trabalho.
Uso o UniFi Express 7. A versão 4.0.17 vale para ele?
Não. Segundo a Censys, o UniFi Express 7 é outro produto, com outra numeração. Confira a linha dele no boletim.
Na calculadora abaixo, já preenchida com 10 equipamentos, você confere o tamanho da rede de gerência.
