title: "拠点のUniFiがKEV入り——CISAがUbiquiti UniFi OSの3脆弱性を悪用確認、安価なネットワーク機器の盲点" slug: "ubiquiti-unifi-os-kev-network-appliance-20260629" description: "CISAが2026年6月23日、Ubiquiti UniFi OSの3脆弱性（CVE-2026-34908/34909/34910）を悪用確認済みとしてKEVに追加。支店・店舗で広く使われる安価なネットワークアプライアンスが攻撃対象になった意味と、機器棚卸し・更新運用の実務を情シス向けに解説します。" lead_summary: "結論：サーバだけでなく拠点に置いた安価なネットワーク機器も「悪用確認済み」になりました。CISAはUbiquiti UniFi OSの3脆弱性をKEVに追加し、連鎖で認証不要のroot権限奪取が成立し得ると報じられています。台帳に載っていないアプライアンスを今すぐ棚卸しし、ファームウェアを最新化してください。" date: "2026-06-29" updatedAt: "2026-06-29" category: "セキュリティ" tags: ["GXOトレンド", "脆弱性管理", "KEV", "ネットワークセキュリティ", "Ubiquiti", "情シス", "パッチ運用"] author: "GXO株式会社"
結論：守るべきは「サーバ」だけではない
これまで脆弱性対応の主戦場は、データセンターや社内に置いた業務サーバでした。しかし今回CISA（米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁）がKEV（悪用が確認された脆弱性のカタログ、Known Exploited Vulnerabilities）に追加したのは、支店や店舗の片隅に置かれた安価なネットワークアプライアンスです。守備範囲を「サーバ」で線引きしている組織ほど、今回の盲点に刺さります。
対応の要点は3つです。第一に、各拠点に何台のUniFi機器があるかを台帳化すること。第二に、ファームウェアを公式の修正版へ更新すること。第三に、更新を一度きりで終わらせず、KEV追加を起点に動く運用へ変えることです。
FREE CONSULTATION
この記事の内容について、専門家に相談できます
AI・DX・セキュリティに関するご質問やお見積もりなど、お気軽にお問い合わせください。
何が起きたか
複数のセキュリティ報道（SecurityWeek、BleepingComputer）によると、CISAは2026年6月23日、Ubiquiti UniFi OSの3件の脆弱性を悪用確認済みとしてKEVに追加しました（CISA本体カタログ cisa.gov/known-exploited-vulnerabilities-catalog は本稿執筆時アクセス制限のため、信頼できる複数の二次情報で突合しています）。米連邦機関には拘束的運用指令（BOD）に基づき2026年6月26日までの対応が求められたと報じられています。
公的な脆弱性データベースおよびシンガポールCSAのアドバイザリによると、3件はいずれもCVSS 10.0（最大深刻度）で、連鎖させると**認証なしでroot権限の遠隔コード実行（RCE）**が成立し得ます。攻撃連鎖をライブ環境で再現・解析したBishop Foxは「単一の未認証リクエストからrootシェルに到達した」と報告しています（脆弱性自体は外部の研究者が報告し、Ubiquitiが公式アドバイザリで修正したもので、Bishop Foxは発見者ではなく検証・解析を担いました）。Cloud Gateway、Network Controller、Protect NVR、Access Hub、Talk など、UniFi OSで動く幅広い機器が影響対象と報じられています。実際にMirai系ボットネットを用いた実環境での悪用も報告されており（PwnDefend）、放置された機器が踏み台・感染源になりかねません。
3つの脆弱性（攻撃連鎖の構成）
| CVE | 種別 | 連鎖上の役割 |
|---|---|---|
| CVE-2026-34908 | アクセス制御不備（Improper Access Control） | 認証・認可を回避し、無許可で操作する入口 |
| CVE-2026-34909 | パストラバーサル（Path Traversal） | OS上のファイルを不正に読み書きする |
| CVE-2026-34910 | 入力検証不備（Improper Input Validation） | OSコマンドを注入・実行する |
入口（34908）→ファイル操作（34909）→コマンド実行（34910）と段階的につながる点が、今回の深刻さの正体です。1件あたりの修正漏れが致命傷になります。
なぜ情シスの盲点になりやすいか
UniFiのようなアプライアンスは「ネットワーク担当」「設備工事の一部」「以前の担当者が入れたもの」といった位置づけで導入されがちで、資産台帳に載っていないことが珍しくありません。サーバには脆弱性管理プロセスがあっても、拠点の安価な機器は管理外、という非対称が今回突かれました。さらに支店・店舗の機器はリモート保守のためインターネットに面していることも多く、攻撃の前提条件がそろってしまいます。
実務チェックリスト
機器棚卸し（まず可視化）
- 全拠点のUniFi OS搭載機器（Gateway/Controller/NVR等）を機種・台数・設置場所で一覧化したか
- 各機器のファームウェア／OSバージョンを記録したか
- 管理画面やAPIがインターネットから到達可能になっていないか確認したか
- 「誰も把握していない機器」がないか、拠点へのヒアリングで洗い出したか
更新運用（今回＋恒常）
- 公式アドバイザリで自機種の修正版を確認し、最新ファームウェアへ更新したか（UniFi OS Serverは修正版5.0.8が報じられています。自環境の対象版は必ず公式情報で確認）
- 更新後、不審なプロセス・設定改ざん・外部通信がないか痕跡を確認したか
- KEV追加・ベンダーアドバイザリを定期的に確認する担当と頻度を決めたか
- 拠点機器も含めた脆弱性管理を、属人作業でなく運用フローに組み込んだか
誰が読むべきか
- 複数拠点・店舗のネットワークを少人数で見ている情シス／拠点IT管理者
- 機器の導入を工事業者任せにしてきた、または資産台帳が更新できていない組織
- サーバのパッチ運用はあるが、ネットワーク機器・OT/IoT機器の更新が手薄な組織
社内に専任のセキュリティ担当を置きづらい中小〜中堅企業ほど、今回のような「安価な機器の一斉対応」は負荷が集中します。客観的な現状把握から始めるなら、脆弱性診断サービスで拠点機器まで含めた棚卸しと外部公開状況の確認が出発点になります。
GXOに相談すべきタイミング
- 「自社にUniFi機器が何台あるか即答できない」——可視化の入口としてセキュリティ対策の全体像で現状を整理してください。
- 「更新は今回できても、次のKEV追加に追従できる体制がない」——KEV連動でパッチを継続運用するセキュリティ顧問（リテイナー）が、棚卸し・優先度付け・更新の定常運用を担います。
- 「ネットワーク機器に加え、現場のIoT/制御機器も心配」——OT/IoTセキュリティで工場・店舗側まで対象を広げて点検できます。
緊急の悪用が確認された案件です。対応の優先順位や進め方に迷う場合は、お問い合わせから拠点構成と機器状況をお知らせください。棚卸しから更新運用の定着まで、実務に踏み込んで伴走します。
FAQ
Q. 連邦機関向けの指令なので、日本の民間企業は関係ない？ A. BODの法的拘束は米連邦機関が対象ですが、KEVは「実際に悪用されている」事実の公的な証拠です。攻撃者は国境を見ません。優先度判断の指標として民間でも有効に使えます。
Q. インターネットに直接公開していなければ安全？ A. 公開機器が最優先である点は変わりませんが、内部侵入後の横展開や、保守経路経由の到達も想定されます。公開有無にかかわらず修正版への更新を推奨します。
Q. 1件だけ修正すれば連鎖は止められる？ A. 連鎖を断ち切る考え方は有効ですが、CVSS 10.0が3件並ぶ状況では「全件を修正版へ更新」が原則です。部分対応で残した1件が次の足がかりになり得ます。
出典
- CISA Adds Four Known Exploited Vulnerabilities to Catalog（2026年6月23日）
- SecurityWeek: Critical Ubiquiti Vulnerabilities in Attackers' Crosshairs
- BleepingComputer: Critical UniFi OS bug lets hackers gain root without authentication
- Bishop Fox: Popping Root on UniFi OS Server — Unauthenticated RCE Chain
- Cyber Security Agency of Singapore: Multiple Critical Vulnerabilities in Ubiquiti UniFi OS
- PwnDefend: CVE-2026-34910 Exploitation ITW – building a botnet (Mirai)
