Ubiquiti UniFi OSのCVSS 10.0脆弱性3件がCISA KEV入り――連邦機関は6月26日までに対応

この記事は約13分で読めます。

2026年6月23日、米CISA（Cybersecurity and Infrastructure Security Agency）は、UbiquitiのUniFi OSに存在する3件の最大深刻度脆弱性（CVE-2026-34908、CVE-2026-34909、CVE-2026-34910）を、Known Exploited Vulnerabilities（KEV）カタログに追加しました。いずれもCVSS v3.1のベーススコアは10.0、Binding Operational Directive（BOD）26-04に基づき、連邦民間機関（FCEB）には6月26日までという短い期限で修正適用が義務付けられています。Ubiquitiは1ヶ月前の5月21日にSecurity Advisory Bulletin 064を公開して修正リリース済みでしたが、その間に実環境での悪用を示す報告が複数浮上していました。

脆弱性の全体像

今回CISAがKEVに追加したUniFi OSの脆弱性3件は、それぞれ独立しても深刻ですが、Bishop Foxの技術解析によって認証バイパスからリモートコード実行までの一連の攻撃チェーンを構成することが明らかになっています。攻撃者はネットワーク経由でUniFi OSの管理インターフェースに到達できれば、未認証で任意のOSコマンドを実行できる状態にありました。

項目 内容
主要CVE CVE-2026-34908 / CVE-2026-34909 / CVE-2026-34910（いずれもCVSS v3.1 10.0 Critical）
関連CVE CVE-2026-33000（CVSS 9.1、要認証バリアント）/ CVE-2026-34911（CVSS 7.7、情報漏えい）
脆弱性種別 Improper Access Control（CWE-284）+ Path Traversal（CWE-22）+ Improper Input Validation（CWE-20）
影響製品 Ubiquiti Security Advisory Bulletin 064に記載されたUniFi OS搭載製品群（UniFi OS Server、UDM/UDR/UNVR/UCK/UCG/UNAS/Express等）
CVSSベクター CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H（CVE-2026-34908、Ubiquiti評価）
攻撃チェーン nginxのURI正規化を悪用した認証バイパス → パッケージ更新サービスのコマンドインジェクション（Bishop Fox解析）
修正リリース 2026年5月21日：Ubiquiti Security Advisory Bulletin 064公開、UniFi OS Server 5.0.8ほか
CISA KEV登録 2026年6月23日
対応期限 2026年6月26日（連邦民間機関、BOD 26-04に基づく）
発見者 CVEごとに異なる。CVE-2026-34908はDuc Anh Nguyen氏（@heckintosh_）、CVE-2026-34909はAbdulaziz Almadhi氏（Catchify Security）、CVE-2026-34910はJohn Carroll氏にクレジット（関連CVE-2026-33000はV3rlust氏、CVE-2026-34911はHakai Security）
悪用報告 SecurityWeek経由で「John Sim」管理者アカウント作成事例（Reddit/Ubiquitiフォーラム報告）。Ubiquiti公式は実環境での悪用を明言せず、CISAは「ransomware campaigns使用」を「Unknown」と分類
検出ツール Bishop Fox公開のCVE-2026-34908非破壊型検出ツール（GitHub）

攻撃チェーンの技術的詳細

Bishop FoxはUbiquitiのパッチを差分解析し、3件の脆弱性が連鎖して未認証でのリモートコード実行に至ることを明らかにしました。同社はUniFi OS 5.0.6（パッチ前）の仮想マシン環境で攻撃チェーンを検証し、単一リクエストで未認証コマンド実行に到達できることを確認しています。コマンドインジェクション自体はパッケージ更新サービスのサービスアカウント（ucs-update）権限で実行されますが、Bishop Foxのブログタイトル「Popping Root on UniFi OS Server」が示すとおり、攻撃チェーン全体としては最終的にroot権限相当のコード実行に至る構造です。一方、同社が公開しているのはコマンド実行や対象状態の変更を伴わない非破壊型の検出ツールです。

第1段：nginxによる認証ゲートウェイのバイパス（CVE-2026-34908とCVE-2026-34909）

UniFi OSはnginxをフロントエンドに配置し、サブリクエスト機構（auth_request）で認証チェックを実施しています。この認証チェックは「URIが特定の認証免除プレフィックス（/api/auth/validate-sso/など）で始まる場合、認証を要求しない」というルールで動作します。問題は、nginxがこの判定を行うときに使うURIと、実際にバックエンドへルーティングする際に使うURIが一致しない点にあります。

具体的には、認証判定にはリクエストのraw URI（生のURI文字列）が使われる一方、バックエンドへのルーティングにはnormalized URI（パーセントエンコーディングのデコードや../の解決などを経た、正規化済みのURI）が使われます。Bishop Foxは、raw URIが認証免除プレフィックスで始まり、かつ正規化後には認証が必要な内部ルートに解決されるようなリクエストを構築することで、認証チェックをすり抜けて認証必須のバックエンドエンドポイントに到達できることを確認しました。

このバイパスはUbiquiti側でnginx設定を修正することで対応されており、5.0.8以降では「正規化前後でパスに差異があるリクエスト」をnginxがHTTP 400で拒否するようになっています。Bishop Foxの差分解析によれば、パッチコメントには「path traversal attacks where the raw and normalized service names diverge」（生のサービス名と正規化済みサービス名が乖離するパストラバーサル攻撃）と明記されており、修正の意図が直接記述されています。同社の検出ツールは、この挙動の違い（5.0.6では認証バイパスが成立、5.0.8以降ではHTTP 400で拒否）を非破壊的に観測することで、ターゲットがパッチ済みかどうかを判定します。

第2段：パッケージ更新サービスのコマンドインジェクション（CVE-2026-34910）

認証バイパスで内部ルートに到達した攻撃者が次にたどり着くのが、パッケージ更新を扱うサービスです。このサービスはリクエストに含まれるパッケージ名パラメータを十分に検証せず、シェルコマンドの組み立てに使っていました。攻撃者はパッケージ名にシェルメタ文字を含めたうえで、コマンドコードパスを強制するオプションを指定することで、任意のOSコマンド実行へ到達できます。

Bishop Foxは検証の際、ペイロードに固定時間のsleepを仕込んだ「時間差を使った確認手法」を採用しました。サーバーの応答時間がsleepの指定どおり伸びることを観測することで、コマンド実行が成立したことを非破壊的に確かめる方法です。5.0.6では指定間隔の遅延を伴うHTTP 200応答が返り、5.0.8では遅延なしのHTTP 400応答が返るという挙動差が、脆弱性の存在と修正の双方を裏付けています。

修正側では、Go実装のパッケージ更新バックエンドにpackage-name allowlistと名前検証チェックが追加されたほか、コマンド実行がsh -cラッパー経由から引数配列ヘルパー経由に書き換えられました。これにより、入力中のシェルメタ文字がシェルに解釈される経路自体が遮断されています。関連CVE-2026-33000は同じパッケージ更新サービスのコマンドインジェクション欠陥ですが、こちらはview:identity:updateトークンによる認証が必要なバリアントで、認証ゲートウェイのバイパスを伴わない場合の同種シンクとして位置づけられます。

影響製品と修正バージョン

UniFi OSはUDM/UDM-Pro/UDM-SEなどのCloud Gateway製品群から、UNVRシリーズ（ネットワークビデオレコーダー）、UCK（Cloud Key）、UniFi OS Server（セルフホスト型管理サーバー）まで、Ubiquitiの管理プラットフォーム製品全体に搭載されています。Security Advisory Bulletin 064が示す影響範囲は広く、ホームラボ、SMB、エンタープライズの境界に配置される機器の多くが対象となります。Ubiquiti公式アドバイザリで指定される修正バージョンは製品系統ごとに異なります。

  • UniFi OS Server：5.0.8以降へ更新
  • UDM、UDM-Pro、UDM-SE、UDM-Pro-Max、EFG、UDW、UDR、UDR7、Express 7、UNVR、UNVR-Pro、UNVR-Instant、ENVR、UCG-Ultra、UCG-Max、UCG-Fiber：5.0.16以前は5.1.12以降へ更新
  • UDR-5G、ENVR-Core、UCKP、UCK、UCK-Enterprise：5.0.17以前は5.1.12以降へ更新
  • UCG-Industrial：5.1.12以降へ更新
  • UNVR-G2、UNVR-G2-Pro：5.1.12以降へ更新
  • UNAS-2、UNAS-4、UNAS-Pro、UNAS-Pro-4、UNAS-Pro-8：5.1.10以降へ更新
  • UDM-Beast：5.1.11以降へ更新
  • Express：4.0.14以降へ更新

修正バージョン番号は製品ライン別に細かく分かれているため、運用機器ごとにUbiquiti公式アドバイザリで対象バージョンを確認することをお勧めします。

悪用状況と「John Sim」事例

CISA KEVへの追加は、CISAが既知の悪用がある脆弱性として扱ったことを意味します。ただし、悪用の具体的な内容については公式情報源ごとに温度差があります。CISAはKEVエントリ内で「use in ransomware campaigns」を「Unknown」と分類しており、ランサムウェアキャンペーン使用の確証はないとしています。Ubiquiti自身もパッチリリース時点では実環境での悪用の確認について公式コメントを出していませんでした。

一方、SecurityWeekはUbiquitiフォーラムおよびReddit上で、複数のユーザーがゼロデイ悪用と疑われる事例を報告していたと伝えています。報告された手口は「John Sim」というユーザー名で不正な管理者アカウントが追加されるもので、CVE-2026-34908の改ざんエンドポイントを使った典型的なケースに合致します。実環境での悪用を示す報告、Bishop Foxによる技術分析、そしてCISAのKEV登録がそろったことで、未更新環境では優先度を上げて対応すべき段階に入ったといえます。

歴史的にもUbiquiti機器はボットネット運用の標的にされてきた経緯があり、2024年2月にFBIがロシア軍参謀本部情報総局（GRU）配下の攻撃者によるMoobotボットネット（侵害されたUbiquiti Edge OSルーターで構成）を摘発した事例は記憶に新しいところです。管理プラットフォームの侵害は、それ単体の被害にとどまらず、ボットネット組み込み、認証情報収集、横展開、トラフィック操作など、後段の攻撃インフラとして利用されやすい構造があります。

CISA KEV登録とBOD 26-04の影響

CISAは2026年6月23日付でAlert「CISA Adds Four Known Exploited Vulnerabilities to Catalog」を発出し、上記Ubiquiti UniFi OSの3件に加えてCVE-2025-67038（Lantronix EDS5000のコマンドインジェクション、CVSS 9.8）を同時にKEVに追加しました。Lantronix EDS5000はシリアル/イーサネット変換サーバーで、産業用途で利用される機器です。

連邦民間機関（FCEB）向けにはBOD 26-04「Prioritizing Security Updates Based on Risk」に基づき、6月26日までの修正適用が義務付けられています。これは登録から3日という極めて短い対応期限であり、過去のBOD 22-01の14〜21日ベースから大幅に短縮された対応期限です。BOD 26-04はリスクベースで「公開資産」「侵害後に資産全体の制御を許す脆弱性」を優先する設計となっており、UniFi OSのように管理権限を握る機器の脆弱性は最も優先度が高い対応カテゴリに該当します。

連邦機関以外の組織にも、BOD 26-04の「Forensics Triage Requirements」に沿った侵害有無の確認が推奨されています。具体的には、UniFi OS管理コンソールのログ、追加された管理者アカウントの棚卸し、パッケージ更新エンドポイントへの不審なリクエストの確認などが該当します。

実務視点での対処

Bishop Foxによる技術分析と非破壊型の検出ツールが既に公開されており、KEV登録によって攻撃者側の関心も高まる局面に入っています。優先度の高い順に対処を進めるのが堅実です。

  • 影響資産の棚卸しと修正バージョン適用。UDM/UDM-Pro/UDM-SEなどのCloud Gateway製品群、UNVRシリーズ、UCKシリーズ、UCGシリーズ、UniFi OS Server、UNAS、Express など、UniFi OS搭載機器すべてをインベントリ化し、Ubiquiti Security Advisory Bulletin 064が示す修正バージョンを適用してください。製品系統ごとに修正バージョン番号が異なる点に注意が必要です。
  • 管理インターフェースのインターネット公開を確認。UniFi OS管理プレーンがインターネットから直接到達可能な状態は、本脆弱性の悪用を最も招きやすい構成です。VPN経由のアクセスに限定する、許可IPリストで制限する、不要なポート開放を閉じるといった措置を即時に行うことを推奨します。BOD 26-04の考え方でも、公開資産かどうか、既知悪用の有無、技術的影響の大きさが対応優先度に関わります。UniFi OS管理プレーンが信頼されないネットワークから到達可能な場合は、優先度を上げて対応すべきです。
  • 侵害有無の確認。パッチ適用以前に侵害された可能性を考慮し、UniFi OSの管理者アカウント一覧を棚卸して、見覚えのない管理者（例えば「John Sim」のような名前）が追加されていないかを確認してください。設定変更履歴、パッケージ更新ログ、外部からの異常なAPIリクエストパターンも同様に確認対象です。
  • 検出ツールの活用。Bishop FoxはCVE-2026-34908向けの非破壊型検出ツール（コマンド実行を伴わない安全な脆弱性検証）をGitHubで公開しています。組織内の多数のUniFi OS資産を対象に、パッチ適用状況を一括スキャンしたい場合に有用です。
  • 関連CVEへの留意。主要3件のほかにCVE-2026-33000（要認証バリアント）とCVE-2026-34911（情報漏えい）が同じBulletin 064で公開されており、いずれも同じ修正バージョンで対処されます。一括して適用する方針が現実的です。

参考情報

コメント

タイトルとURLをコピーしました