UbiquitiがUniFi OSや各種アプリの深刻な脆弱性を修正、特権昇格やコマンド実行の恐れ

要点

• ネットワーク機器メーカーのUbiquitiが、UniFi ConnectやUniFi OSなど複数の製品・アプリケーションにおける脆弱性を修正するアップデートをリリースした。

• 修正された脆弱性の中には、CVSSスコアが最大値の10.0に達する極めて深刻なコマンドインジェクションの脆弱性が含まれている。

• 脆弱性を悪用されると、ネットワーク経由でホストデバイス上での権限昇格や意図しないコマンド実行（不正操作）が行われるリスクがある。

• 今回の修正対象には、直近で実際の攻撃への悪用が確認されていた脆弱性は含まれていないものの、過去には別製品が標的となった事例もあり、早期のアップデート適用が推奨されている。

• 米ネットワーク機器大手のUbiquiti（ユビキティ）は2026年7月8日、同社の「UniFi」シリーズのOSおよび各種アプリケーションに存在する複数の深刻なセキュリティ脆弱性を修正するアップデートの提供を開始した。この脆弱性は、UniFi Connect、UniFi Talk、UniFi Access、UniFi Protect、およびUniFi OSに影響を与えるもので、悪用されると特権昇格（制限されたユーザー権限からシステム全体の管理権限を奪取すること）や任意のコマンド実行を許す恐れがある。同社は公式リリースにてセキュリティアドバイザリを公開し、ユーザーに対して修正済みバージョンへの速やかな更新を呼びかけている。

• 今回のアップデートで修正された脆弱性は合計7件。いずれも共通脆弱性評価システム（CVSS：脆弱性の深刻度を0.0から10.0の数値で評価する標準規格）のスコアで9.0から最大値である10.0を記録する深刻なものばかりである。悪用された場合、対象のネットワークにアクセス可能な攻撃者によって、デバイスの最高管理者権限が奪取されたり、ホストシステム上でシステムを制御するコマンド（命令）を強制的に実行されたりする可能性があるという。

• 各アプリケーションおよびOSにおける脆弱性の詳細は以下の通りである。

• まず、最も深刻度の高い「CVE-2026-50746」（CVSSスコア：10.0）は、UniFi Connect Applicationに存在する不適切なアクセス制御の脆弱性である。これにより、ネットワークにアクセスできる攻撃者がホストデバイス上でコマンドインジェクション（プログラムの不備を突いて外部から不正なOSコマンドを実行させる攻撃手法）を実行できる状態になっていた。影響を受けるのはバージョン3.4.16以下で、すでにリリースされているバージョン3.4.20でこの問題が解消されている。

• 次に、UniFi Talk Applicationでは「CVE-2026-50747」（CVSSスコア：9.9）が修正された。これは一連の認証が必要なSQLインジェクション（データベースを操作するSQL文に不正な命令を混入させて情報を改ざん・漏洩させる攻撃手法）の脆弱性である。ネットワークにアクセス可能な攻撃者が、ホストデバイス上で管理者などの特権を昇格させるために悪用できる。この脆弱性はバージョン5.1.2以下に影響し、バージョン5.2.2で修正された。

• UniFi Access Applicationに関しては、2件の深刻な脆弱性が修正された。一つは「CVE-2026-50748」（CVSSスコア：9.9）で、不適切な入力値検証（ユーザーからのデータ入力に対する確認プロセスの不備）の脆弱性である。ネットワークにアクセスできる攻撃者がコマンドインジェクションを実行できる状態になっていた。もう一つは「CVE-2026-54400」（CVSSスコア：9.1）で、不適切なアクセス制御の脆弱性である。これもネットワークからホストデバイス上での特権昇格を引き起こす恐れがある。これらはいぜれもバージョン4.2.28以下に影響し、バージョン4.2.29で解消されている。

• さらに、UniFi Protect Applicationでは「CVE-2026-55115」（CVSSスコア：9.9）が修正された。こちらはサーバーサイドリクエストフォージェリ（SSRF：信頼されたサーバーから別のサーバーへ不正なリクエストを送信させる攻撃手法）の脆弱性が存在する。ネットワークへのアクセスと低い特権を持つ攻撃者が、これを利用してホストデバイス上の権限を昇格させることが可能であるという。影響を受けるのはバージョン7.1.77以下で、バージョン7.1.83で修正された。

• 最後に、システムの基盤となるUniFi OS自体にも2つの脆弱性が見つかっている。「CVE-2026-54402」（CVSSスコア：9.9）は不適切な入力値検証の脆弱性で、ネットワーク内の攻撃者がコマンドインジェクションを実行できる。「CVE-2026-55116」（CVSSスコア：9.0）は不適切なアクセス制御の脆弱性で、攻撃者が特定のデバイスに対して許可されていない変更を勝手に加えることができる。影響を受けるのはバージョン5.1.15以下で、バージョン5.1.19で修正された。

• Ubiquitiによると、今回公表された新たな脆弱性が実際に悪用された証拠は現時点で見つかっていない。しかし、同社製品を標的としたサイバー攻撃は過去にも発生しており、注意が必要である。

• 実際、先月（2026年6月）には、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）が、UniFi OSにおける3件の別の脆弱性（CVE-2026-34908、CVE-2026-34909、CVE-2026-34910）について、実際のサイバー攻撃で兵器化（悪用）されているとして警告を発したばかりである。

• また、過去にはロシア政府の支援を受ける脅威アクターによって、乗っ取られたUbiquiti製ルーター「Edge OS」がボットネット（サイバー攻撃に利用するために乗っ取られた機器のネットワーク）に組み込まれた事例も報告されている。「MooBot」と呼ばれるこのボットネットは、悪意あるネットワークトラフィックを中継（プロキシ：通信を代理で送信する仕組み）するために利用されていたが、2024年2月に法執行機関の共同作戦によって解体された。

• 今回リリースされた各製品向けのアップデートは、こうした脅威を防ぐための予防的措置として非常に重要である。該当するバージョンを利用しているシステム管理者は、被害を未然に防ぐためにも、迅速に最新のパッチを適用することが求められる。