CISA KEVに追加されたUbiquiti UniFi OSの3件の脆弱性について、影響製品、更新目安、管理画面の到達範囲、初動確認、証跡保全を整理します。
何が起きたか
2026年6月23日、CISA は Ubiquiti UniFi OS に関する CVE-2026-34908、CVE-2026-34909、CVE-2026-34910 を Known Exploited Vulnerabilities（KEV）カタログに追加した。CISA KEV JSONでは、3件とも追加日が2026年6月23日、対応期限が2026年6月26日として整理されている。
現時点で公開情報から確認できる範囲では、Ubiquiti公式アドバイザリ Security Advisory Bulletin 064、NVD、CVE情報が、UniFi OS Server、UDM系、UNVR系、UCG系など複数のUniFi OSデバイスを影響対象として示している。この記事では攻撃手順、PoC、探索クエリ、悪用コードには触れない。管理者が最初に確認すべき資産、到達範囲、更新、ログ、報告判断に絞って整理する。
公式情報で確認できる主な事実は次の通りだ。
| CVE | 公式情報上の分類 | CNA/NVDに表示されるCVSS v3.1 | CISA KEV追加日 | CISA KEV期限 |
|---|---|---|---|---|
| CVE-2026-34908 | UniFi OSの不適切なアクセス制御 | 10.0 Critical | 2026-06-23 | 2026-06-26 |
| CVE-2026-34909 | UniFi OSのパストラバーサル | 10.0 Critical | 2026-06-23 | 2026-06-26 |
| CVE-2026-34910 | UniFi OSの不適切な入力検証 | 10.0 Critical | 2026-06-23 | 2026-06-26 |
同じUbiquiti公式アドバイザリでは、CVE-2026-33000やCVE-2026-34911も扱われている。KEVに入った3件だけを見て終わらせず、公式アドバイザリ単位で機器とバージョンを照合する必要がある。
読者別の影響
UniFi OSは、店舗、学校、オフィス、拠点ネットワーク、小規模データセンター、監視カメラやネットワーク管理の基盤として使われることがある。したがって影響確認は「ネットワーク担当だけ」の作業ではなく、情シス、拠点管理者、委託先、CSIRT、場合によっては物理セキュリティ担当にも関係する。
| 読者 | まず見ること |
|---|---|
| 情シス・ネットワーク担当 | UniFi OS機器の有無、モデル、バージョン、管理者、更新可否 |
| SaaS・ID管理者 | UniFi管理画面に使うIdP、MFA、管理者アカウント、委託先アクセス |
| CSIRT・セキュリティ担当 | KEV期限、管理面の露出、設定変更ログ、管理者追加、異常通信 |
| 拠点・店舗管理者 | 現地機器、保守窓口、停止できない時間帯、回線・カメラ・入退室への影響 |
| 経営・サービス責任者 | 未更新拠点、業務影響、顧客・店舗・委託先への説明要否 |
UniFi OSデバイスがネットワーク管理、映像、ストレージ、アクセス制御の中心にある場合、侵害時の影響は1台の機器に閉じない。管理プレーンの信頼性、ネットワーク設定、証跡、管理者権限を同時に見る必要がある。
まず確認すること
初動では、攻撃の再現や外部からの探索ではなく、自社の機器台帳と公式情報の突き合わせから始める。
- Ubiquiti公式アドバイザリ、CISA KEV、NVDでCVE番号、対象製品、影響バージョン、更新先、期限を確認する。
- UniFi OS Server、UDM、UDM-Pro、UDM-SE、UNVR、UCG、UCK、UNASなどの機器があるか、拠点・委託先・検証環境まで含めて棚卸しする。
- 各機器のモデル、UniFi OSバージョン、管理者、保守担当、設置場所、更新可否を一覧化する。
- 管理画面、管理API、SSH、リモート保守経路がインターネット、VPN、広い社内ネットワーク、委託先ネットワークから到達可能か確認する。
- 更新前に設定バックアップ、管理者一覧、変更履歴、管理ログ、ネットワーク設定を保全する。
- 更新後に管理者追加、設定変更、DNS/ルーティング/ファイアウォール設定、VPN設定、カメラ・ストレージ設定に不審点がないか確認する。
この確認は、インターネット公開管理画面の緊急点検 と CVE初動対応チェックリスト に落とし込める。侵害疑いがある場合は、管理画面認証回避・境界機器脆弱性 初動対応プレイブック に進む。
影響バージョンと更新判断
Ubiquiti公式アドバイザリとCVE情報では、製品ごとに影響範囲が分かれている。下表は実務での棚卸し用に、公開情報から確認できる代表的な更新目安を整理したものだ。最終判断は必ずUbiquiti公式アドバイザリと管理画面の表示を照合する。
| 製品群 | 公開情報上の影響範囲の例 | 実務上の確認 |
|---|---|---|
| UniFi OS Server | 5.0.8未満 | self-hosted環境、検証環境、委託先運用を含めて確認する |
| UDM / UDM-Pro / UDM-SE / UDM-Pro-Max / UDR / UDR7 / UCG系 / UNVR系など | 5.1.12未満として整理される製品が多い | 拠点ごとのモデル差、更新リング、停止影響を確認する |
| UDM-Beast | 5.1.11未満 | 専用の更新先を公式情報で確認する |
| UNAS-2 / UNAS-4 / UNAS-Pro系 | 5.1.10未満 | ストレージ用途の影響とバックアップを確認する |
| Express | CVE-2026-34909で4.0.14未満が影響範囲として示される | 小規模拠点・検証用機器の見落としに注意する |
「管理画面がインターネットに出ていないから低リスク」と即断しない。CISA KEVに入っている以上、管理ネットワーク、VPN、委託先、ゲスト分離、拠点LAN、踏み台、リモート保守経路のどこから到達できるかを確認する必要がある。
初動対応
やること
- 対象機器の一覧を作り、更新済み、未更新、未確認、対象外に分ける。
- 管理面の到達範囲を一時的に狭め、管理端末、管理VLAN、VPN、固定IP、IdP、MFAなどに限定する。
- Ubiquiti公式アドバイザリに沿って更新し、更新前後の設定、管理者一覧、ログ、バックアップを記録する。
- 高権限アカウント、ローカル管理者、APIキー、SSH鍵、リモートアクセス設定を確認する。
- 不審な設定変更、管理者追加、VPN設定変更、DNS変更、ファイアウォールルール変更、カメラ・ストレージ設定変更を確認する。
- 未更新機器が残る場合は、理由、代替制御、期限、責任者、再確認日を残す。
やらないこと
- インターネット上の自社機器を探索するためのクエリや攻撃再現を実行しない。
- 不審点がある機器を、証跡保全前に初期化、ログ削除、設定削除しない。
- 公式アドバイザリを読まず、機器名の雰囲気だけで対象外判断しない。
- 拠点担当や委託先に「最新版にしてください」とだけ依頼して、証跡と完了条件を回収しない。
記録すべきこと
- CVE番号、参照した公式情報、確認日時、確認者。
- 機器名、モデル、設置場所、現在バージョン、更新後バージョン。
- 管理面の到達範囲、アクセス制御、MFA、管理者一覧。
- 更新前後のログ、設定差分、バックアップ確認、ロールバック条件。
- 未確認・未更新の理由、代替制御、残リスク、次回確認日。
判断基準
次の条件に当てはまる場合は、通常の更新作業ではなく、CSIRTまたはインシデント対応として扱う。
- CISA KEV期限を過ぎても未更新または未確認のUniFi OS機器が残っている。
- UniFi管理画面、管理API、SSH、リモート保守経路がインターネットまたは広いネットワークから到達可能だった。
- 不審な管理者追加、権限変更、VPN設定変更、DNS変更、ファイアウォールルール変更、ログ欠損がある。
- UniFi OSが店舗、学校、医療・介護施設、入退室、監視カメラ、重要拠点ネットワークを管理している。
- 更新や停止が業務に影響し、メンテナンス判断を経営・拠点責任者に上げる必要がある。
- 委託先や拠点担当の管理者権限、MFA、作業証跡が確認できない。
優先度の判断では、CVSSの点数だけでなく、KEV追加、管理面の露出、機器の役割、更新期限、ログ上の不審点を合わせて見る。判断軸を整理する場合は CVEとCVSSの違い と SSVCとは も参考になる。
よくある誤解
「UniFiは小規模向けだから後回しでよい」 小規模拠点や店舗ほど、ネットワーク、カメラ、Wi-Fi、ストレージ、リモート保守が1つの管理基盤に集まりやすい。影響範囲は機器の価格ではなく、管理しているネットワークと権限で決まる。
「管理画面を外に出していないなら関係ない」 外部公開の有無は重要だが、それだけでは不十分だ。管理VLAN、VPN、委託先、拠点LAN、ゲスト分離、踏み台経由の到達範囲を確認する必要がある。
「更新すれば調査は不要」 更新は必須だが、管理者追加、設定変更、ログ欠損、リモートアクセス設定の確認が残る。特にKEV対応では、更新前後に何を確認したかを説明できる証跡が重要だ。
関連するCyberLens内部リンク
- インターネット公開管理画面の緊急点検：管理画面・管理API・保守経路の到達範囲を確認する。
- 管理画面認証回避・境界機器脆弱性 初動対応プレイブック：侵害疑いがある場合の封じ込め、調査、復旧、報告を整理する。
- CVE初動対応チェックリスト：CVE番号を受け取った直後の対象確認と優先度判断。
- 管理プレーンとは：ネットワーク機器やクラウド管理面のリスクを理解する。
- KEVとは：悪用確認済み脆弱性を優先度判断に使う考え方。
- CVEとCVSSの違い：番号、深刻度、対応優先度を混同しないための比較。
- ゼロトラストアーキテクチャ：管理面を常に検証する考え方へ進む。
- セキュリティニュース一覧：関連する最新ニュースを確認する。
