Ubiquitiの「UniFi OS」に深刻な脆弱性「CVE-2026-34910」が判明、CISAも警告

要点

• Ubiquitiのネットワーク管理用OS「UniFi OS」に、リモートから任意のシステムコマンドを実行可能になる深刻な脆弱性が発見された。

• 脆弱性評価組織のHackerOneは、本脆弱性の深刻度を示すCVSS 3.1ベーススコアを最高値の「10.0（緊急）」と判定した。

• 米国CISAは、本脆弱性が既に攻撃者に悪用されているとして「既知の悪用された脆弱性カタログ」に追加した。

• すでに野良悪用（In the Wild）が確認されており、Miraiボットネットの構築に悪用されている事実が報告されている。

• 影響を受けるデバイスには「UniFi Dream Machine」などが含まれ、ベンダー提供のアップデート適用が推奨される。

• Ubiquiti（ユビキティ）社が提供するネットワーク管理システム用OS「UniFi OS」において、リモートから任意のシステムコマンドを実行される恐れのある深刻な脆弱性「CVE-2026-34910」が存在することが明らかになった。本脆弱性はすでにサイバー攻撃に悪用されている事実が確認されており、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、本脆弱性を極めて危険度の高い「既知の悪用された脆弱性（KEV）カタログ」に追加し、早期の対処を促している。

脆弱性の概要と脅威

本脆弱性「CVE-2026-34910」は、UniFi OSデバイスにおいて、入力されたデータの処理が不適切に行われる「不適切な入力検証（CWE-20）」に起因するものだ。ネットワークアクセス権を持つ悪意ある攻撃者がこの不備を突くことで、本来は実行できないはずのシステムコマンドを外部から注入し、OS上で実行させる「コマンドインジェクション（プログラムに対して意図しないOSコマンドを無理やり実行させる攻撃）」が可能になるという。この脆弱性が悪用された場合、デバイスの完全な制御権を奪取される危険性がある。

最高評価「10.0」の極めて高い深刻度

本脆弱性の深刻度は、共通脆弱性評価システムであるCVSSバージョン3.1に基づき、CNA（CVE番号発番機関）であるHackerOneによって評価された。その結果、基本値は最高値の「10.0」と判定され、最も危険度の高い「CRITICAL（緊急）」に分類されている。

HackerOneによる評価ベクトル（CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）では、ネットワーク経由で攻撃可能、難易度が低く、認証やユーザー関与が不要で、機密性・完全性・可用性のすべてに最大の「High」影響が及ぶ。なお、米国国立標準技術研究所（NIST）が運用する脆弱性データベース「NVD」による独自のアセスメント（評価結果）は、現時点では提供されていない。

実際の悪用とボットネット構築の危険性

本脆弱性はすでにサイバー攻撃に悪用されている。サードパーティのセキュリティアドバイザリであるPWNDefendによる報告によると、この脆弱性はすでに「野良（ITW: In the Wild）」で悪用されており、IoTデバイスを標的とするマルウェア「Mirai（ミライ）」ボットネットを構築するための足がかりとして機能しているという。これを受け、CISAは2026年6月23日に本脆弱性をKEVカタログへ追加し、連邦政府機関や関連組織に対して2026年6月26日までの迅速な対応を求めている。

求められる対応アクション

CISAの要件に基づき、関係者は以下の対応を行う必要がある。まず、ベンダー（Ubiquiti社）の指示に従い、緩和策やパッチ（修正プログラム）を適用する。また、CISAの「BOD 26-04（リスクに基づくセキュリティアップデートの優先順位付け）」および「フォレンジック調査トリアージ要件」への準拠を確保する。さらに、各資産のインターネット露出度を評価し、適切なガイドラインを適用する。緩和策が適用できない場合は製品の使用を中止する必要がある。

影響を受けるソフトウェアと対象モデル

本脆弱性の影響を受ける具体的な構成（CPE）は、以下のバージョン未満（excluding）が対象となる。

• UniFi OS Server（バージョン5.0.8未満）
• UniFi Cloud Gateway Industrial、UniFi Dream Machine（Pro/Special Edition/Pro Max含む）、Enterprise Fortress Gateway、UniFi Dream Wall、UniFi Dream Router（※元記事の「ui:unifi_dream_rou」に準ずる）の各ファームウェア（いずれもバージョン5.1.12未満）

補足

Ubiquiti社は、セキュリティアドバイザリ「Security-Advisory-Bulletin-064-064」を自社コミュニティフォーラム上で公開し、ユーザーに向けて対策情報の提供とパッチの適用を呼びかけている。