OWN NEWS GATHER
← 戻る
cve

Ubiquiti製「UniFi OS」搭載デバイスに深刻なアクセス制御の脆弱性、CISAが注意喚起

要点

  • Ubiquiti社のネットワーク管理OS「UniFi OS」および関連デバイスに、不正変更を許すアクセス制御の脆弱性（CVE-2026-34908）が判明した。
  • 脆弱性報告プラットフォーム「HackerOne」による評価では、最高深刻度を示す基本スコア「10.0（緊急）」と判定された。
  • 米国CISAは実際の悪用を確認したとして、本脆弱性を「既知の悪用された脆弱性カタログ」に追加し、迅速な対応を求めている。
  • 影響を受ける製品には、UniFi Dream MachineシリーズやEnterprise Fortress Gatewayなどの主要機器が含まれる。

リード文

米国の国家脆弱性データベース（NVD）などの公開情報により、Ubiquiti社が提供するネットワーク管理システム「UniFi OS」および同OSを搭載する各種デバイスに、深刻な脆弱性が存在することが明らかになった。本脆弱性は「CVE-2026-34908」として識別されており、ネットワークへのアクセス権を持つ攻撃者がシステムへ不正な変更を加えることを可能にするという。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、すでに実際の悪用が確認されているとして本脆弱性を「既知の悪用された脆弱性カタログ」に登録し、速やかな対策を呼びかけている。

本文

脆弱性の概要と影響

本脆弱性は、「不適切なアクセス制御（Improper Access Control、CWE-284）」に起因するものである。不適切なアクセス制御とは、本来制限されるべきシステムやデータに対するアクセス権限の設定が不十分である状態を指す。

この脆弱性が悪用されると、該当するネットワークに接続できる悪意ある人物が、UniFi OSを搭載するデバイス上で不正な変更を加えることが可能になる。UniFi OSは、同社のルーターやアクセスポイントといったネットワーク機器を一元管理する重要なシステムであり、これに対する不正操作は、ネットワーク全体のセキュリティを脅かす深刻な事態を招く恐れがある。

最高深刻度「10.0」の評価

深刻度の評価において、本脆弱性は極めて危険性が高いと判断されている。脆弱性の検証と命名を担当したCNA（脆弱性命名機関）である「HackerOne」は、共通脆弱性評価システム（CVSS）のバージョン3.1に基づき、本脆弱性の基本スコアを最大値である「10.0（緊急）」と評価した。

この評価の背景にあるベクター（要素）は「AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H」と示されている。これは、ネットワーク経由で攻撃が可能であり（AV:N）、攻撃の難易度が低く（AC:L）、特別な権限（PR:N）やユーザーの操作（UI:N）も不要であることを示している。さらに、攻撃の影響が他のシステムに波及し（S:C）、機密性・完全性・可用性のすべてにおいて最大の被害（C:H/I:H/A:H）が生じる危険性があることを意味している。なお、国家規格技術研究所（NIST）による独自の評価は、本情報の公開時点では未提供（N/A）となっている。

影響を受けるデバイスとバージョン

公開された構成情報によると、本脆弱性はUbiquiti社の多くの主要デバイスおよびそのファームウェアに影響を与える。具体的に影響を受けるとされる環境は以下の通りである。

  • UniFi OS Server: バージョン 5.0.8 未満
  • UniFi Cloud Gateway Industrial: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • UniFi Dream Machine: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • UniFi Dream Machine Pro: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • UniFi Dream Machine Special Edition: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • UniFi Dream Machine Pro Max: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • Enterprise Fortress Gateway: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）
  • UniFi Dream Wall: ファームウェアバージョン 5.1.12 未満（対象ハードウェアも同様）

このように、一般家庭から企業の基幹インフラまで幅広く利用されている「Dream Machine」シリーズやゲートウェイ製品が多数対象となっており、影響範囲の広さが伺える。

CISAの対応と要求される措置

CISAは2026年6月23日、本脆弱性を「既知の悪用された脆弱性カタログ（Known Exploited Vulnerabilities Catalog）」に追加した。このカタログは、実際にサイバー攻撃において悪用されている脆弱性をリスト化したものであり、登録された脆弱性に対しては迅速な対処が義務付けられる。

今回の「CVE-2026-34908」における対策の期限（Due Date）は、カタログ追加からわずか3日後となる「2026年6月26日」に設定されていた。これは、CISAがこの問題を極めて差し迫った脅威と捉えていることを示している。

CISAは関係者に対し、ベンダーの指示に従って速やかに緩和策を適用するよう指示している。これには、リスクに基づくアップデートの優先順位付けに関する指示「BOD 26-04」や「フォレンジック・トリアージ要件」への準拠が含まれる。もし適切な緩和策が適用できない場合は、製品の使用を中止することが求められている。

関連する情報と脅威動向

本脆弱性に関連する情報源として、Ubiquiti社が提供するセキュリティアドバイザリ「Security Advisory Bulletin-064-064」が挙げられており、パッチなどの対応策が案内されている。

さらに、CISA-ADPが提供する情報の中には、別の脆弱性「CVE-2026-34910」の悪用に関連して、「Mirai（ネットワーク機器などを踏み台にするマルウェア）」を用いたボットネット（攻撃者が遠隔操作する感染端末群）の構築に向けた野生での攻撃活動を指摘する外部のアドバイザリも参照されている。こうした複合的な脅威に対抗するためにも、管理者はシステムを常に最新の状態に保つことが極めて重要となっている。

元URL