CERT Polska w komunikacie z 27 sierpnia opisuje biuletyn obejmujący 22 podatności w produktach Ubiquiti, w tym UniFi OS, UniFi Network Application, UniFi Connect, UniFi Access i UniFi Protect AI Key. Zarządca biura, IT oraz integrator powinni wspólnie ustalić, które produkty z ostrzeżenia są używane i kto odpowiada za ich aktualizacje. Zakres przeglądu powinien połączyć sieć, monitoring oraz kontrolę dostępu.

Czy po przekazaniu ostrzeżenia CERT Polska do IT potrafimy wskazać także osobę odpowiedzialną za sprawdzenie UniFi Access? Odpowiedź „zajmuje się tym integrator” wymaga doprecyzowania: kto po stronie organizacji potwierdzi zakres prac i ich wykonanie? Potraktujmy to jako pytanie kontrolne dla własnego biura, bez przypisywania komukolwiek zaniedbania. Proponujemy zacząć od wspólnego spisu produktów objętych ostrzeżeniem i używanych w organizacji. Przy każdej pozycji zapiszmy osobę, która ustali wersję, sprawdzi potrzebę aktualizacji oraz uzgodni jej przeprowadzenie. Jeśli wiedza o UniFi Access pozostaje po stronie integratora, wpiszmy brakujące informacje do wyjaśnienia z nim. Samo przekazanie komunikatu CERT Polska potraktujmy jako początek tego zadania.

UniFi OS i UniFi Protect: dwa różne skutki podatności

Według CERT Polska CVE-2026-77550 pozwala ominąć uwierzytelnianie w określonych wersjach UniFi OS. Z kolei CVE-2026-77537 umożliwia wykonanie poleceń w UniFi Protect. Przy ocenie własnej instalacji zachowajmy przypisanie każdego z tych skutków do właściwego produktu. Nie przenośmy opisu jednej podatności na wszystkie pozycje wymienione w ostrzeżeniu.

Liczba 22 dotyczy podatności opisanych w biuletynie, a nie liczby urządzeń wymagających aktualizacji w konkretnym biurze. Własny wynik powstaje dopiero po zestawieniu używanych produktów i wersji z zakresem biuletynu producenta. Dokładnych wersji nie przytaczamy; ich sprawdzenie powinno być odrębnym krokiem przed ustaleniem zakresu prac.

W roboczym spisie przy UniFi OS i UniFi Protect proponujemy osobne pola na wersję zastaną oraz wynik jej weryfikacji. Jeśli wersji jeszcze nie ustalono, wpiszmy „do sprawdzenia” i osobę odpowiedzialną za uzupełnienie. Nie oznaczajmy takiej pozycji jako ocenionej wyłącznie dlatego, że ktoś zapoznał się z ostrzeżeniem CERT Polska.

UniFi Access trzeba uwzględnić w podziale zadań

Nie znamy procedur ani podziału obowiązków w biurze czytelnika. Ostrzeżenie obejmujące między innymi UniFi Access daje jednak konkretny punkt do ich sprawdzenia. Proponujemy porównać zakres firmowego przeglądu aktualizacji z produktami wskazanymi przez CERT Polska. Jeżeli przegląd kończy się na sieci, poszerzmy go o monitoring i kontrolę dostępu dla produktów z komunikatu.

Przy UniFi Access poprośmy zarządcę biura, IT i integratora o uzgodnienie odpowiedzialności. Kto dostarczy informację o używanej wersji? Kto porówna ją z biuletynem? Kto zaktualizuje produkt i kto odbierze potwierdzenie wykonania? Odpowiedzi zapiszmy przy tej samej pozycji spisu, aby uczestnicy przeglądu mogli sprawdzić swoje zadania.

Jeżeli istniejąca procedura obejmuje już UniFi Access, sprawdźmy jej wykonanie dla tego ostrzeżenia. Jeżeli odpowiedzialność pozostaje nieustalona, nazwijmy to otwartym zadaniem do uzgodnienia. Nie zakładajmy, że sam udział integratora rozstrzyga, kto po stronie biura nadzoruje aktualizację.

UniFi Access powinien mieć wskazanego właściciela aktualizacji w tym samym przeglądzie, który obejmuje produkty sieciowe z ostrzeżenia.

Zarządca, IT i integrator potrzebują wspólnego spisu

Zarządcy biura proponujemy zlecić przygotowanie wspólnego spisu obejmującego używane produkty wymienione przez CERT Polska. Dla UniFi Network Application, UniFi Connect czy UniFi Protect AI Key zastosujmy ten sam sposób zapisu: produkt, ustalona wersja, osoba odpowiedzialna, wynik porównania z biuletynem i następne działanie. W spisie odróżnijmy pozycje sprawdzone od tych, dla których nadal zbieramy informacje.

Kolejność aktualizacji produktów z ostrzeżenia ustalmy po rozpoznaniu własnej instalacji. Samo ostrzeżenie nie mówi, które urządzenie w biurze aktualizować jako pierwsze. Nie znamy też czasu ani kosztu tych prac. Poprośmy IT i integratora o przedstawienie zakresu potrzebnych działań oraz wskazanie, jakie ustalenia wymagają decyzji zarządcy biura.

Przy odbiorze prac dotyczących produktów z komunikatu wymagajmy odniesienia do uzgodnionego spisu. Proponujemy zapisać, które pozycje zaktualizowano, które po sprawdzeniu nie wymagały aktualizacji, a które pozostają otwarte. Przy ostatnich wskażmy przyczynę i osobę odpowiedzialną za kolejny krok. To kryterium proponowanego przeglądu, nie opis działań konkretnej organizacji.

Wspólny spis produktów z ostrzeżenia powinien pokazywać wynik aktualizacji i zadania nadal czekające na właściciela.

Komunikat CERT Polska nie potwierdza aktywnych ataków

Polskim punktem odniesienia jest ostrzeżenie CERT Polska opublikowane 27 sierpnia 2026 r. Komunikat nie potwierdza aktywnego wykorzystywania opisanych podatności. Nie przedstawiajmy więc przeglądu aktualizacji jako reakcji na udokumentowany atak na biuro. Jednocześnie brak takiego potwierdzenia nie rozstrzyga, czy konkretna instalacja wymaga aktualizacji; to zadanie wymaga sprawdzenia produktów i wersji.

Na potrzeby rozmowy zarządcy biura z IT i integratorem proponujemy używać wspólnego odnośnika do tego komunikatu CERT Polska. Ustalenia o własnych urządzeniach zapisujmy osobno od informacji zawartych w źródle. Przy każdej pozycji spisu wskażmy, kto potwierdził jej stan, aby rekomendacja aktualizacji miała odniesienie do konkretnej instalacji.

W informacji dla zarządcy zachowajmy zakres ustaleń: ostrzeżenie CERT Polska, wynik sprawdzenia używanych produktów oraz uzgodnione działania. Jeżeli nie udało się jeszcze odczytać wersji UniFi OS albo potwierdzić odpowiedzialności za UniFi Access, wpiszmy właśnie te braki. Nie zastępujmy ich ogólnym zapewnieniem o zakończeniu przeglądu.

Co z tym zrobić w poniedziałek

  1. Rozpocznij wspólny spis. Przeznacz 30 minut na zestawienie dostępnych informacji o produktach z ostrzeżenia CERT Polska używanych w biurze. Uwzględnij sieć, monitoring i kontrolę dostępu. Brakujące nazwy lub wersje oznacz jako wymagające ustalenia; wynikiem ma być roboczy spis.
  2. Rozpisz odpowiedzialność. W ciągu 30 minut dopisz do znanych pozycji spisu osoby odpowiedzialne po stronie zarządcy, IT i integratora. Przy UniFi Access sprawdź, kto ma potwierdzić wykonanie aktualizacji. Nieuzgodnione obowiązki zapisz jako konkretne zadania do wyjaśnienia.
  3. Sprawdź jedną pozycję w biuletynie. Poświęć 30 minut na porównanie znanej wersji produktu ze spisu z biuletynem producenta wskazanym przez CERT Polska. Zapisz wynik lub brak informacji uniemożliwiający ocenę oraz następny krok. Pozostałe pozycje pozostaw jawnie oznaczone do sprawdzenia.

Przegląd po ostrzeżeniu CERT Polska powinien objąć wspólnie sieć, monitoring i kontrolę dostępu dla wskazanych produktów. Odpowiedzialność za UniFi Access uzgodnijmy równie konkretnie jak za UniFi OS. Zarządca biura, IT i integrator powinni móc odczytać z jednego spisu, co sprawdzono i kto ma wykonać pozostałe prace.

Źródła

Redakcja cyberinsight.pl.