Ubiquitiのネットワーク機器向けプラットフォーム「UniFi OS」や関連アプリケーションを対象に、深刻な脆弱性を含む複数の脆弱性情報が公開された。CVSS v3.1で最大評価となる10.0が付与されたものも含まれており、報道では、約10万台規模の UniFi 製品群に影響が及ぶ可能性があると伝えられている。
事案の詳細
報道によると、Ubiquitiは現地時間2026年5月21日にセキュリティアドバイザリ Bulletin 064 を公開し、「UniFi OS」に関する5件の脆弱性を明らかにした。そのうちCVE-2026-34908、CVE-2026-34909、CVE-2026-34910の3件は、CVSS v3.1 スコア10.0（Critical）と評価されている。
CVE-2026-34908はアクセス制御の不備により、リモートから認証なしで保護された設定や内部処理へ到達できる脆弱性とされている。CVE-2026-34909はパストラバーサルの脆弱性、CVE-2026-34910はコマンドインジェクションの脆弱性であり、いずれもネットワーク経由で悪用可能と説明されている。
これら3件の脆弱性については、セキュリティ研究者 Bishop Fox によるパッチ差分解析により、認証バイパスからリモートコード実行までを単一の攻撃チェーンとして成立させられることが確認されている。攻撃者が UniFi OS の管理インターフェースにネットワーク経由で到達できる場合、認証情報なしで任意の OS コマンドを root 権限で実行される恐れがあると報告されている。
米国 CISA（Cybersecurity and Infrastructure Security Agency）は、2026年6月23日付でこれら3件の CVSS 10.0 脆弱性（CVE-2026-34908／34909／34910）を「Known Exploited Vulnerabilities（KEV）」カタログに追加し、対象となる連邦政府機関に対して2026年6月26日までの是正（パッチ適用）を求めている。これは、当該脆弱性が悪用されている、または高い悪用リスクがあると判断されたことを意味する。
影響を受ける製品は、「UniFi OS Server」や「UDMシリーズ」「UNVRシリーズ」「UCGシリーズ」「UCKシリーズ」「UNASシリーズ」「Express」など、UniFi OS を搭載した幅広いネットワーク機器群に及ぶとされている。報道では、これらを合計すると約10万台規模の機器が影響を受ける可能性があるとの試算が紹介されているが、正確な台数については詳細は現時点で不明である。
なお、同じ UniFi シリーズでは、UniFi Network Application における深刻な脆弱性CVE-2026-22557（未認証の攻撃者が基盤システムを完全に制御可能）や、NoSQL Injection によるCVE-2026-22558（CVSS 7.7）なども別途公表されているほか、「UniFi Connect」におけるコマンドインジェクション脆弱性CVE-2026-50746も CVSS 10.0（Critical）と評価されている。これらは UniFi OS 本体とは別のコンポーネントだが、UniFi シリーズ全体として深刻な欠陥が連続して明らかになっている状況にある。
現時点で、UniFi OS の CVSS 10.0 脆弱性3件（CVE-2026-34908／34909／34910）については CISA の KEV に登録されており、実際の悪用が確認されたとされる。一方、その他の UniFi 関連脆弱性（CVE-2026-22557／22558／50746 など）について、具体的な攻撃事例がどの程度観測されているか、詳細な被害件数などは公表情報からは確認できない。
影響と背景
UniFiは企業や家庭向けのネットワーク機器を統合的に管理する製品群であり、多数のルーター、ゲートウェイ、ネットワークビデオレコーダー、アクセスポイントなどに UniFi OS が搭載されている。CVSS 10.0 の脆弱性が複数存在し、かつ認証なしでリモートコード実行が可能になる攻撃チェーンが確認されていることから、管理インターフェースがインターネットや広域ネットワークに露出している環境では、乗っ取りや設定改ざん、ネットワーク全体への侵害拡大といった重大な影響が生じる危険がある。
影響製品のリストには、UniFi OS Server、UDMシリーズ、UNVRシリーズ、UCGシリーズ、UCKシリーズ、UNASシリーズ、Expressなど、Ubiquiti製品ポートフォリオの中核をなす複数カテゴリが含まれるとされている。導入規模の大きさや、遠隔管理用途で広く利用されていることを踏まえると、脆弱な状態のまま運用が続けば、組織内ネットワークへの不正侵入、監視カメラ映像やログ情報の窃取、設定改ざんによるサービス停止など、影響範囲が広がり得る事案として高い注意が求められる。
さらに、CISA が連邦機関に対して短期間での是正を義務づけていることは、当該脆弱性が既に攻撃者に注目され、悪用が確認されている、あるいは高度なリスクが存在することを示す指標といえる。同庁の KEV カタログに掲載された脆弱性については、パッチ未適用機器が継続的に標的となる傾向があるため、民間企業や地方自治体などでも早期対応が重要となる。
対策・今後の展望
- 自組織で利用しているUniFi製品の有無と範囲を確認する：まず資産管理の観点から、UniFi OS 搭載機器（UniFi OS Server、UDM/UNVR/UCG/UCK/UNAS/Express など）や UniFi Network Application／UniFi Connect を利用しているかを棚卸しし、設置場所、管理インターフェースの公開範囲、クラウド管理の有無などを把握する。
- ベンダー情報やセキュリティアドバイザリ、更新情報を確認する：Ubiquiti が公開しているセキュリティアドバイザリ Bulletin 064 を含む公式情報を参照し、CVE-2026-34908／34909／34910 などの深刻な脆弱性について、影響を受ける製品・バージョンと修正済みバージョンを確認する。また、UniFi Network Application や UniFi Connect 等の関連コンポーネントに対しても、CVE-2026-22557／22558／50746 などの修正状況を把握する。
- アップデート方針と適用手順を整理し、早期にパッチを適用する：業務影響を考慮しつつ、UniFi OS を最新の推奨バージョンへ更新するとともに、UniFi Network Application や UniFi Connect などのアプリケーションも、ベンダーが示す修正済みバージョンへアップデートする。CISA の KEV に登録されている CVSS 10.0 脆弱性については、インターネット露出の有無にかかわらず、優先度を「最優先」として計画を立てることが望ましい。
- ネットワーク構成と公開範囲の見直しを含めて運用上の監視と記録を強化する：脆弱性公開直後や KEV 追加後は、スキャンや攻撃試行が増加しやすい。管理インターフェースのインターネット公開を避ける、VPN越しのアクセスに限定する、アクセス制御リストやファイアウォールルールを再点検するなど、ネットワーク設計面の見直しを行う。また、UniFi OS や関連アプリケーションのログを適切に保全・集中管理し、不審なログイン試行や設定変更、未知のスクリプト実行痕跡などを継続的に監視する。
参照: UbiquitiのUniFi製品に深刻な脆弱性、最大評価「CVSS 10.0」含む7件が公開。約10万台に影響の恐れ – 財経新聞