Самое плохое во всём этом то, что они всё ещё продают Edgerouters и Edge switches по рекомендуемой розничной цене. По сути навязывают уже старый и устаревший товар. Смешно. Я понимаю, что оборудование немного устарело и программное обеспечение требует модернизации, что требует денег и ресурсов, которые они предпочитают вкладывать в UniFi... но полностью переход на UniFi не является жизнеспособным решением, когда UniFi всё ещё не хватает много функций, которые может делать EdgeOS.

Windows 95 больше не получает обновления и поддержку от производителя. EdgeOS получает.

У тебя есть список тех конкретных «множества известных CVE», которые не устранены? Если да, пытался ли ты их сообщить в UI, и они ответили? (Это честный вопрос, без агрессии и желания поспорить)

Подобные заявления появляются довольно часто, но обычно никто не подтверждает, что сообщал об этом в UI. Хотя были несколько случаев, когда люди говорили, что этого не делали. То, что нет обновлений, не означает, что проблемы игнорируются, поскольку может не быть и самих применимых проблем (без других изменений новые уязвимости не возникнут). С другой стороны, это не значит, что их нет вообще, но предполагать что-то в любом случае — это просто предположение. Именно поэтому важно напрямую обращаться к производителю. Системы отслеживания уязвимостей существуют не просто так и предоставляют простой и точный справочник для запросов к производителю.

Из предыдущего ответа на подобное заявление:

Если ты нашёл конкретные CVE, которые кажутся тебе релевантными, пытался ли ты связаться с UI в личном порядке?

Раньше можно было открыть тикет через https://account.ui.com/requests и они отвечали, особенно по вопросам безопасности. Теперь это чат-бот с ИИ, но я всё равно рекомендую сначала попробовать этот способ. Email через support@ui.com тоже может сработать, но я бы сначала попробовал портал аккаунта.

Возможно, UI уже видели эти CVE и определили, что они неприменимы, но также возможно, что UI их ещё не видели. В любом случае, если никто конкретно не спросит, остаётся только спекуляция и критика.

Кстати, на ER не так много поверхностей для атак, и те, что есть (кроме самого графического интерфейса), — это все хорошо установленные и известные компоненты. UI должны легко это подтвердить, если ты предоставишь им номер CVE. Для ядра только версии 4.9 (Cavium) или 4.14 (MTK), поэтому это сужает область. Есть CVE типа CVE-2025-38346, которые специально указывают, что ядра ранее версии 4.15 не подвержены, например, поэтому они не применимы к edgerouters. Опять же, предоставление конкретных CVE в UI (даже через приватный тикет) было бы полезно.

Ubiquiti запустила программу поиска уязвимостей здесь: https://hackerone.com/ui?type=team
Вы можете увидеть их раскрытия информации об уязвимостях в разделе Releases. Они определённо не просто сидят сложа руки и ждут внешнего давления. На самом деле EdgeRouters — это старые устройства, и некоторые (если не все) микросхемы SoC фактически заброшены производителем, поэтому EdgeOS нельзя просто так обновить до более новых версий Debian на этих устройствах. Это также влияет на их возможность обновлять различные пакеты. По сути, они в основном ограничены только портированием соответствующих исправлений на эти устройства. Честно говоря, я удивлён, что они ещё не полностью сняли EdgeRouters с производства, но они этого не сделали, и версия 3.0 только что вышла: https://community.ui.com/releases/EdgeRouter-3-0-0/33ee3852-b5db-453e-ad14-430bc218c02f
Но по причинам, упомянутым выше, изменения не будут кардинальными.