UniFi OS機器の脆弱性CVE-2026-34908などの悪用
NVDの記録によると、米サイバーセキュリティ・インフラストラクチャー安全保障庁（CISA）はUbiquitiのUniFi OS機器の脆弱性CVE-2026-34908・CVE-2026-34909・CVE-2026-34910を、2026年6月23日に既知の悪用された脆弱性（KEV）のカタログへ加え、期限を6月26日とした［5、6、7］。SecurityWeekは、Ubiquitiが悪用に触れていないと報じた［15］。
脆弱性の内容
CVE記録の説明では、どれもネットワークにアクセスできる攻撃者がUniFi OS機器で悪用しうる脆弱性である［2、3、4］。CVSS 3.1の基本値はいずれも10.0（Critical）だった［2、3、4］。
| 項目 | CVE-2026-34908 | CVE-2026-34909 | CVE-2026-34910 | 資料 |
|---|---|---|---|---|
| 種類（CWE） | 不適切なアクセス制御（CWE-284） | パストラバーサル（CWE-22） | 不適切な入力検証（CWE-20） | ［2、3、4］ |
| CVE記録の説明 | システムに許可の無い変更を加えうる | 下層のシステムのファイルにアクセスでき、そのファイルは下層のアカウントへのアクセスに使えるよう操作されうる | コマンドインジェクションを実行しうる | ［2、3、4］ |
| CSAが示した悪用の結果 | 機器全体の侵害に至りうる不正な変更 | 機微なファイルへの不正なアクセス（下層のアカウントの侵害に使われうる） | 任意のコマンドの実行に至りうるコマンドインジェクション | ［13］ |
| KEVの名称 | Ubiquiti UniFi OS Improper Access Control Vulnerability | Ubiquiti UniFi OS Path Traversal Vulnerability | Ubiquiti UniFi OS Improper Input Validation Vulnerability | ［5、6、7］ |
| CISAのSSVCのExploitation | active | active | active | ［2、3、4］ |
シンガポール・サイバーセキュリティ庁（CSA）は注意喚起AL-2026-059で、3件はいずれも認証の無い遠隔の攻撃者が悪用できると説明した［13］。
認証なしの実行に至る連鎖
Bishop Foxは解析で、認証ゲートウェイの2件（CVE-2026-34908・CVE-2026-34909）とパッケージ更新サービスのCVE-2026-34910を連ねると、認証なしでコマンドを実行できると説明した［14］。同社は、1回の要求でroot権限のリバースシェルを得るまで連鎖全体を確かめた［14］。検証はUniFi OS Server 5.0.6の稼働中の環境で行って修正版で直ったことを確かめ、ハードウェアの機器では直接検証していない［14］。Webの管理画面はTCP 11443で待ち受けることが多く、悪用の前提は管理画面に届くことだけだとBishop Foxは書いた［14］。
Bulletin 064のほかのCVE
UniFiのホスティング事業者HostiFiは、Security Advisory Bulletin 064が5件の脆弱性を含むと説明した［11］。そのうちCVE-2026-34911は、ネットワークにアクセスでき低い権限を持つ攻撃者が機微な情報を得うるパストラバーサルで、CVSS 3.1の基本値は7.7（High）である［8］。CVE-2026-33000は、高い権限を持つ攻撃者によるコマンドインジェクションで、CVE記録は基本値を9.1（Critical）とした［9］。Bishop FoxはCVE-2026-33000を、CVE-2026-34910と同じ注入点に有効なトークンで達する認証付きの版だと書いた［14］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | HackerOne | CNAとしてCVE-2026-34908を予約した | ［2］ |
| 2026年 | Ubiquiti | Security Advisory Bulletin 064を掲載した | ［1］ |
| 2026年 | HackerOne | CVE記録を公開した | ［2、3、4］ |
| 2026年 | NVD | 記録を公開した | ［5、6、7］ |
| 2026年 | カナダ・サイバーセキュリティセンター（CCCS） | 注意喚起AV26-498を出した | ［12］ |
| 2026年 | CSA | 注意喚起AL-2026-059を出した | ［13］ |
| 2026年 | HostiFi | Bulletin 064への対応を公表した | ［11］ |
| 2026年 | Bishop Fox | 連鎖の解析と検知用のツールを公開した | ［14］ |
| 2026年 | PwnDefend | ハニーポットで観測した悪用を公表した | ［10］ |
| 2026年 | CISA | 3件をKEVのカタログに加えた | ［5、6、7］ |
| 2026年 | CCCS | AV26-498の更新1でKEVへの追加を追記した | ［12］ |
| 2026年 | NVD | 記録を更新し、状態を「Analyzed」にした | ［5、6、7］ |
対象の製品と版
| 製品 | 影響を受ける版 | 修正版 | 資料 |
|---|---|---|---|
| UniFi OS Server | 5.0.8未満 | 5.0.8以降 | ［2、10］ |
| UDM、UDM-Pro、UDM-SE、UDM-Pro-Max、EFG、UDW、UDR、UDR7、UDR-5G、Express 7 | 5.1.12未満 | 5.1.12以降 | ［2、10］ |
| UNVR、UNVR-Pro、UNVR-Instant、UNVR-G2、UNVR-G2-Pro、ENVR、ENVR-Core | 5.1.12未満 | 5.1.12以降 | ［2、10］ |
| UCKP、UCK、UCK-Enterprise、UCG-Ultra、UCG-Max、UCG-Fiber、UCG-Industrial | 5.1.12未満 | 5.1.12以降 | ［2、10］ |
| UDM-Beast | 5.1.11未満 | 5.1.11以降 | ［2、10］ |
| UNAS-2、UNAS-4、UNAS-Pro、UNAS-Pro-4、UNAS-Pro-8 | 5.1.10未満 | 5.1.10以降 | ［2、10］ |
| Express（CVE-2026-34909だけ） | 4.0.14未満 | - | ［3］ |
CCCSは注意喚起AV26-498で、Ubiquitiが5月21日にセキュリティアドバイザリを公表したと伝え、影響を受ける製品を版とともに挙げた［12］。
悪用の状況
PwnDefendは、Defusedのハニーポットとトリアージから、CVE-2026-34910が実際に悪用されていると書いた［10］。攻撃者のパケットは認証なしのトラバーサルとコマンドインジェクションを使っており、2つのCVEの一部ずつを使っていると説明した［10］。記事のCVE番号は一度誤っており、更新で直した［10］。記事の末尾でPwnDefendは、ハニーポットとLLMの解析に基づく速報であり、誤りを含みうると書いた［10］。
CVE-2026-34908のCVE記録によると、CISAはこの記事を第三者のアドバイザリとして参照に加えた［2］。NVDも同じ記事に「Exploit」の印を付けている［5］。
SecurityWeekは、複数の利用者がUbiquitiのフォーラムとRedditで、これらの脆弱性が悪用されて不正な管理者アカウントが作られたと報告したと報じた［15］。
修正と回避策
NVDの記録によると、KEVが求める措置は、ベンダーの指示に沿って緩和策を適用し、CISAのBOD 26-04と「Forensics Triage Requirements」に従うことである［5］。クラウドサービスではBOD 26-04の指針に従い、緩和策が無ければ製品の使用をやめるよう求めている［5］。
CSAは、影響を受ける製品の利用者と管理者に、最新版へ直ちに更新するよう勧めた［13］。
Bishop Foxの解析では、修正版を当てても、すでに侵入した攻撃者は追い出せない［14］。盗まれたセッションの署名鍵で作った管理者のトークンが、修正を当てた版でも通ることを確かめている［14］。同社は、更新前に露出していた機器をroot権限の侵害を前提に扱い、署名鍵を含む秘密情報を入れ替えるよう勧めた［14］。
HostiFiは、UniFi OS Serverを動かす自社の全サーバーを、自動でUniFi OS 5.0.8に更新したと説明した［11］。UniFi Networkを動かす顧客は影響を受けないとした［11］。
未公表の事項
- 悪用されたUniFi OS機器の数とインターネットに露出した機器の数
- 攻撃者とその帰属
出典
当事者
- ［1］Ubiquiti Inc.『Security Advisory Bulletin 064』（2026年5月21日公開、2026年5月22日更新）
関係組織
- ［11］HostiFi『How has HostiFi addressed Security Advisory Bulletin 064?』（2026年5月26日公開）
公的機関
- ［2］CVE Program『CVE-2026-34908』（2026年5月22日公開、2026年6月24日更新）
- ［3］CVE Program『CVE-2026-34909』（2026年5月22日公開、2026年6月24日更新）
- ［4］CVE Program『CVE-2026-34910』（2026年5月22日公開、2026年6月24日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-34908 Detail』（2026年5月22日公開、2026年7月23日更新）
- ［6］National Institute of Standards and Technology『CVE-2026-34909 Detail』（2026年5月22日公開、2026年7月23日更新）
- ［7］National Institute of Standards and Technology『CVE-2026-34910 Detail』（2026年5月22日公開、2026年7月23日更新）
- ［8］CVE Program『CVE-2026-34911』（2026年5月22日公開）
- ［9］CVE Program『CVE-2026-33000』（2026年5月22日公開、2026年5月23日更新）
- ［12］Canadian Centre for Cyber Security『Ubiquiti security advisory (AV26-498) – Update 1』（2026年5月22日公開、2026年6月23日更新）
- ［13］Cyber Security Agency of Singapore『Multiple Critical Vulnerabilities in Ubiquiti UniFi OS（AL-2026-059）』（2026年5月26日公開）
調査・観測
- ［10］Xservus Limited『CVE-2026-34910 Exploitation ITW – building a botnet (MIRAI)』（2026年6月9日公開）
- ［14］Bishop Fox『Popping Root on UniFi OS Server: Unauthenticated RCE Chain Detection & Analysis』（2026年6月5日公開）
報道機関
- ［15］SecurityWeek『Critical Ubiquiti Vulnerabilities in Attackers’ Crosshairs』（2026年6月24日公開）
更新記録
- 2026年6月24日：公開した。
- 2026年7月23日：National Institute of Standards and Technologyが7月23日に更新したNVDの3件の記録（出典5、6、7）で示された記録の状態を「時系列」に加えた。