OWN NEWS GATHER
← 戻る
cve

Ubiquiti製「UniFi OS」に深刻な脆弱性　CISAが実悪用を確認、HackerOne評価で「10.0」

要点

  • Ubiquiti社の「UniFi OS」搭載デバイスに、システム内のファイルを不正操作してアカウントを奪取される恐れがあるパス・トラバーサルの脆弱性（CVE-2026-34909）が発覚した。
  • 脆弱性認定組織であるHackerOneは、本脆弱性の深刻度を示すCVSS 3.1ベーススコアを最高値の「10.0（CRITICAL）」と評価している。
  • 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性が実際に悪用されているとして、既知の悪用された脆弱性カタログに登録した。
  • 影響範囲は「UniFi OS Server」のほか、「UniFi Dream Machine」シリーズなど主要なネットワーク機器のファームウェアに及ぶ。

リード文

ネットワーク機器大手Ubiquiti（ユビキティ）社の「UniFi OS」搭載デバイスにおいて、極めて深刻なパス・トラバーサルの脆弱性（CVE-2026-34909）が発見された。この脆弱性は、ネットワークにアクセス可能な悪意あるアクターによって悪用され、デバイス内のシステムアカウントが乗っ取られる恐れがある。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は本脆弱性がすでにサイバー攻撃に悪用されている事実を確認しており、システム管理者に対して迅速なパッチ適用や緩和策の実施を呼びかけている。

脆弱性の詳細と影響

今回の脆弱性「CVE-2026-34909」は、公開外のファイルにアクセス可能となる「パス・トラバーサル（CWE-22）」と呼ばれる脆弱性である。これは、プログラムが想定している公開フォルダ以外の場所に不正にアクセスされる不具合を指す。

悪意ある第三者がこの脆弱性を悪用すると、UniFi OSデバイスの基盤システム上にあるファイルにアクセスすることが可能となる。それらのファイルが書き換えなどの操作を受けることで、最終的にはシステムを管理するためのアカウントへの不正アクセス権が奪取され、機器全体が制御下に置かれるリスクがある。

CVSS評価で最高値「10.0」を記録

この脆弱性の深刻さは非常に高い。評価を担当した認定脆弱性機関（CNA）であるHackerOneは、脆弱性の深刻度を評価する指標「CVSS（共通脆弱性評価システム）バージョン3.1」に基づき、最高レベルの深刻さを示す「10.0（CRITICAL）」のベーススコアを算出した。

評価ベクトル「CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H」は、ネットワーク経由でリモートから攻撃可能（AV:N）で難易度が低く（AC:L）、認証（PR:N）やユーザー操作（UI:N）も不要なことを示す。さらに影響がシステム境界を越えて伝播し（S:C）、情報の機密性・完全性・可用性のすべてに致命的な被害を及ぼす（C:H/I:H/A:H）内容となっている。なお、国家脆弱性データベース（NVD）による評価は本稿執筆時点で未提供である。

影響を受ける製品およびバージョン

この脆弱性は、一般家庭から企業向けまで幅広く展開されているUbiquiti社の主要ネットワーク機器に影響を与える。

影響を受ける構成には、バージョン5.0.8未満の「UniFi OS Server」が含まれる。また、「UniFi Cloud Gateway Industrial」、「UniFi Dream Machine」、「UniFi Dream Machine Pro」、「UniFi Dream Machine Special Edition」、「UniFi Dream Machine Pro Max」、「Enterprise Fortress Gateway」、「UniFi Dream Wall」の各ハードウェア上で動作するファームウェアのうち、バージョン5.1.12未満が対象となっている。

人気のオールインワン型ゲートウェイであるDream Machineシリーズや、産業用・エンタープライズ向けのゲートウェイなど、UniFi OSをベースにした主要なネットワークデバイスの広範囲なバージョンが脆弱性の対象となっている。

CISAによる実悪用の警告と要求アクション

CISAは2026年6月23日、本脆弱性が実際に悪用されていることを確認し、「既知の悪用された脆弱性カタログ」に登録した。関連組織に対して2026年6月26日までの迅速な対処を求めている。

要求される措置は、ベンダー指示に基づく緩和策の適用である。指令「BOD 26-04」や「フォレンジック調査の要件」への準拠が必要で、緩和策がない場合は製品の使用中止が指示されている。また、管理者はアセットのインターネット露出状況を評価して対応する責任がある。

さらに外部レポートでは、関連する「CVE-2026-34910」の悪用において、攻撃者が「Mirai」ボットネット（乗っ取った機器群で構成する攻撃ネットワーク）の構築にこれらを悪用していることが報告されている。

補足

Ubiquiti社は、本脆弱性に関するセキュリティ情報「Security-Advisory-Bulletin-064-064」を公開している。対象のデバイスを運用している管理者は、速やかにベンダーの情報を確認し、システムのアップデートを適用することが推奨される。

元URL