Ubiquiti UniFi OS 不適切なアクセス制御（不正な設定変更）

Critical（CVSS 10.0）に分類されるUbiquiti UniFi OSの脆弱性です。UniFi OS 搭載機器に存在する不適切なアクセス制御の脆弱性。ネットワークにアクセスできる攻撃者がシステムに不正な変更を加えられる。CVSS 10.0 の最大深刻度で CISA KEV に登録済み。CVE-2026-34909（パストラバーサル）・CVE-2026-34910（コマンドインジェクション）と連鎖して未認証 root RCE に至る。修正版は UniFi OS Server 5.0.8（2026-05-21 リリース）以降。

Ubiquiti が配布する UniFi OS Server 5.0.8 以降へ更新するのが基本方針。管理インターフェースをインターネットに公開しない、管理アクセスを信頼ネットワーク/VPN 経由に限定する回避策を併用する。KEV の是正期限 2026-06-26 は既に経過しており、残作業は未更新機器の洗い出しになる。UniFi は拠点ごとに機器が分散していて更新漏れが起きやすいので、コントローラ上のインベントリでファームウェア版を一覧し、5.0.8 未満が残っていないかを確認する。

Ubiquiti UniFi OS を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-34908）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/06/26 です。推奨される対応: ベンダー指示に従い緩和策を適用（BOD 26-04 準拠）。緩和策が無ければ製品の使用を停止。