ネットワーク機器メーカーUbiquiti（ユビキティ）は2026年5月21日（更新：5月22日）、同社の統合オペレーティングシステム「UniFi OS」に存在する、CVSS v3.1で最高値の10.0が3件を含む計5件の脆弱性に対するセキュリティアップデートをSecurity Advisory Bulletin 064として公開しました。
CVSS 10.0の3件はいずれも認証不要（unauthenticated）・ユーザー操作不要・低複雑度で悪用可能であり、インターネットに公開されたUniFi OSデバイスは特権なしのリモート攻撃者からのコマンドインジェクション・ファイルシステムへのアクセス・システムへの不正変更という三重の脅威にさらされます。脅威インテリジェンス企業Censysによれば、インターネット公開のUniFi OSエンドポイントは世界で約10万件（うち約5万件が米国）追跡されており、潜在的な攻撃対象面は極めて広大です。
Ubiquitiは現時点でいずれの脆弱性も実際の攻撃での悪用は確認されていないとしていますが、すべてHackerOneのバグバウンティプログラム経由で報告された脆弱性であり、低複雑度で悪用できるという事実は早急なパッチ適用を強く求めます。
この記事のサマリー
| CVE | CVSS | 種別 | 認証要否 | 影響 |
|---|---|---|---|---|
| CVE-2026-34908 | 10.0（最高） | 不適切なアクセス制御 | 不要 | システムへの不正変更 |
| CVE-2026-34909 | 10.0（最高） | パストラバーサル | 不要 | 基盤システムのファイルアクセス→アカウント乗っ取り |
| CVE-2026-34910 | 10.0（最高） | 不適切な入力検証 | 不要 | リモートコマンドインジェクション |
| CVE-2026-33000 | 9.1（クリティカル） | 不適切な入力検証 | 高権限必要 | コマンドインジェクション |
| CVE-2026-34911 | 7.7（高） | パストラバーサル | 低権限必要 | 機密情報の開示 |
- 主要な修正バージョン：UniFi OS Server 5.1.12以降（大多数のデバイス）・UniFi Express 4.0.14以降（CVE-2026-34909対応）・UniFi OS Server 5.0.8以降（CVE-2026-33000対応）
- 実攻撃確認：現時点では未確認
- 過去の前例：2024年2月にFBIがUbiquitiルーターで構成されロシアGRU（軍参謀本部情報総局）が使用していたボットネット「Moobot」を解体
目次
UniFi OSとは——エンタープライズ・ホームネットワークの中枢
UniFi OSはUbiquitiが開発した統合オペレーティングシステムであり、UniFi Consoles（管理コンソール）および複数のUniFiアプリケーションを動かす基盤です。対象アプリケーションにはUniFi Network（ネットワーク管理）・UniFi Protect（映像監視）・UniFi Access（物理アクセス管理）・UniFi Talk（IP電話）・UniFi Connect（ディスプレイ管理）が含まれます。
UniFi製品はその高い性能・コストパフォーマンス・統合管理機能から、中小企業・ホームラボ・教育機関・多拠点企業のネットワークの中核に採用されており、UniFi OSデバイスが侵害された場合は当該組織のネットワーク全体・監視カメラ・物理入退室管理システムの一括掌握につながる可能性があります。
5件の脆弱性の詳細
CVE-2026-34908（CVSS 10.0）——不適切なアクセス制御によるシステムへの不正変更
発見者はDuc Anh Nguyen氏（ハンドル名：@heckintosh_）です。UniFi OSの不適切なアクセス制御の欠陥により、ネットワークアクセスのみを持つ未認証の攻撃者がUniFi OS基盤システムに対して広範かつ無制限の変更を加えることができます。認証情報は一切不要です。
影響を受けるハードウェアは非常に広範で、UDM（Dream Machine）・UDM-Pro・UDM-SE・UDM-Pro-MAX・UDMB・UCK-G2・UCK-G2-PLUS・UNVR・UNVR-Pro・UNAS・UNAS-Pro・UCG-Ultra・UCG-Enterprise・UCG-Industrial・EFG・ULTE-PROが含まれます。修正バージョンはEFGがUniFi OS 4.0.16以降、その他のデバイスはUniFi OS Server 5.1.12以降です。
CVE-2026-34909（CVSS 10.0）——パストラバーサルによるアカウント乗っ取り
発見者はAbdulaziz Almadhi氏（Catchify Security）です。未認証の攻撃者がパストラバーサル脆弱性を悪用してホストシステム上のファイルシステムを横断し、機密ファイルを読み取ることができます。さらにそのファイルを操作することで基盤システムのアカウント（管理者アカウントを含む）を乗っ取ることが可能です。実質的にデバイスの完全な制御権奪取につながります。
本脆弱性はCVE-2026-34908の対象ハードウェアに加え、**UniFi Express（バージョン4.0.13以前）**も対象となり影響範囲が最も広い脆弱性です。UniFi Expressには専用パッチ（バージョン4.0.14以降）が必要であることに注意してください。
CVE-2026-34910（CVSS 10.0）——コマンドインジェクションによるリモートコード実行
発見者はJohn Carroll氏です。不適切な入力検証により、未認証のリモート攻撃者が任意のコマンドをシステムレベルの権限で実行できます。CVE-2026-34908と同等の広範なハードウェアが対象です。修正バージョンはUniFi OS Server 5.1.12以降です。
CVE-2026-33000（CVSS 9.1）——高権限ユーザーによるコマンドインジェクション
発見者はV3rlust氏です。UniFi OS Server（バージョン5.0.6以前）において、高権限を持つ攻撃者が不適切な入力検証を悪用してコマンドインジェクションを行うことができます。前述の3件とは異なり高権限が前提条件ですが、ユーザー操作は不要です。修正バージョンはUniFi OS Server 5.0.8以降です。
CVE-2026-34911（CVSS 7.7）——低権限ユーザーによる機密情報漏洩
発見者はHakai Securityです。低権限のネットワークアクセスを持つ攻撃者が、パストラバーサルを通じて基盤システムのファイルから機密情報を読み取ることができます。
攻撃対象面—インターネット公開の約10万エンドポイント
脅威インテリジェンス企業Censysは現時点でインターネット上に公開されたUniFi OS エンドポイントを約10万件追跡しており、そのうち約5万件（約半数）が米国に存在しています
CVSS 10.0の3件が認証不要・低複雑度で悪用可能であることと、この巨大な攻撃対象面を組み合わせると、機会主義的な脅威アクター・ボットネット運営者・ランサムウェア関係者にとって極めて魅力的な標的となります。Field Effectの分析では「これらの管理インターフェイスをインターネットに公開しているUniFi OSデバイスは、認証されていないコマンドインジェクションおよびパストラバーサルの深刻な性質から、日和見的な脅威アクター・ボットネット・ランサムウェアの関係者による初期アクセスベクターとしての悪用が差し迫ったリスクにさらされている」と評価されています。
Ubiquiti製品の悪用の前例
Ubiquiti製品は過去に国家支援型ハッキンググループとサイバー犯罪者の双方に悪用されてきた歴史があります。
2024年2月には、FBIがUbiquitiのEdge OSルーターで構成されたボットネット「Moobot」を解体しました。このボットネットはロシアの**GRU（軍参謀本部情報総局）**が米国およびその同盟国に対するサイバースパイ活動の際に悪性トラフィックをプロキシするために使用していました。
2022年4月には、CISAがUbiquiti AirOSの重大なコマンドインジェクション脆弱性をKEV（既知の悪用脆弱性カタログ）に追加しています。
2026年3月には、UniFi Network Applicationに別のCVSS 10.0脆弱性CVE-2026-22557（パストラバーサルによるアカウント乗っ取り）とCVE-2026-22558（権限昇格）が報告・修正されており、今回の Bulletin 064は「1年以内に3件目の最高重大度脆弱性」とFirst Pass Labが指摘しています。
対応すべき修正バージョンとアップデート手順
UniFi OS Server 5.1.12以降として、UDM・UDM-Pro・UDM-SE・UDM-Pro-MAX・UDMB・UCK-G2・UCK-G2-PLUS・UNVR・UNVR-Pro・UNAS・UNAS-Pro・UCG-Ultra・UCG-Enterprise・UCG-Industrial・ULTE-PROが対象です（CVE-2026-34908・34909・34910・34911の修正）。
UniFi Express 4.0.14以降として、UniFi Expressが対象です（CVE-2026-34909の専用パッチ）。
UniFi OS Server 5.0.8以降として、CVE-2026-33000の修正が含まれます。
アップデートはUniFi Consoleの管理画面またはUbiquiti Downloadsページから実施できます。
インターネット公開デバイスへの緊急対応
パッチ適用を待つ間の緊急緩和策として以下を推奨します。
UniFi Consoleの管理インターフェイスをインターネットから非公開にすることとして、UniFi OSの管理UIおよびポートをパブリックIPアドレスから直接アクセスできる状態にしている場合は、信頼済みIPアドレスのみに制限するか、VPN経由のアクセスのみに限定してください。
異常なトラフィック・設定変更の監視として、インターネット公開状態を解消できない場合は、UniFiのログを精査し不審なアクセス・設定変更・新規ユーザー追加等の痕跡がないかを確認してください。
参考情報（1次ソース）
- Security Advisory Bulletin 064（Ubiquiti Community・2026年5月21日発行・5月22日更新）
- Ubiquiti patches three critical vulnerabilities in UniFi OS（SC Media）
- Maximum-severity UniFi OS vulnerabilities enable full network takeover（Field Effect）
- Ubiquiti Patches Critical UniFi OS Privilege Escalation Flaws（GBHackers）
- Ubiquiti Downloads（Ubiquiti公式ダウンロードページ）
- 【関連記事】サイバー攻撃とは——定義・種類・対策を専門家が解説【2026年最新】
- 【関連記事】2025〜2026年 サイバー攻撃・情報漏洩の最新事例まとめ
関連記事
WindowsのTCP/IP IPv6を使用する全てのシステムに影響を与える緊急度の高い 脆弱性(CVE-2024-38063)
SAP、11月の月例パッチで緊急2件を含む20件を修正-(CVE-2025-4289,CVE-2025-42887)
TP-Linkのルーター Deco BE65 Proに脆弱性、ファームウェアの更新を推奨(CVE-2025-32107)
Apple、極めて高度なサイバー攻撃に悪用された脆弱性を修正(CVE-2025-24201)
Microsoft、ゼロデイ 脆弱性のRedSun(CVE-2026-41091)とUnDefend(CVE-2026-45498)の緊急パッチを公開・YellowKey(CVE-2026-45585)は「緩和策のみ」
QNAPのQVR Proに致命的な脆弱性(CVE-2026-22898)
6000以上のワードプレスがサイバー攻撃とハッキングの被害
Reactの脆弱性 React2Shell(CVE-2025-55182)とは-React Server Components／Next.jsを直撃する脆弱性
MySQLやVirtualBoxなど脆弱性の修正を公開(CVE-2025-6965,CVE-2025-43368,CVE-2026-21982)
