Ubiquiti UniFi OS にアクセス制御不備（CVE-2026-34908）― ネットワーク到達者が無断でシステム変更、同日追加3件の一角
ネットワーク機器で広く使われる Ubiquiti UniFi OS に、不適切なアクセス制御(CWE-284)の脆弱性。ネットワークに到達できる攻撃者がシステムに無断の変更を加えられる。CISAは2026年6月23日、同じUniFi OSの3件（本件・パストラバーサル・入力検証）を同時にKEVへ追加、是正期限は3日後の6月26日。NVD公式評価はCVSS 10.0（CRITICAL）。
脆弱性の基本情報
- CVE番号CVE-2026-34908
- CVSS基本値10 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 対象（ベンダー／製品）Ubiquiti UniFi OS
- CWECWE-284
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-06-26（米連邦民生機関・BOD 22-01）
要点
UniFi は、Wi-Fiアクセスポイント・スイッチ・防犯カメラ・ゲートウェイなどを一つの管理画面で束ねる Ubiquiti の製品群で、中小企業から家庭まで広く普及している。その土台となるのが UniFi OS だ。本件は、そのOSのアクセス制御——「誰が何をしてよいか」の境界——が不適切で、ネットワークに到達できる者が本来許されない変更を加えられる、という脆弱性である。
注目すべきは、CISAが同じUniFi OSの3件を同じ日にまとめてKEVへ載せた点だ。
本件（アクセス制御の突破）、CVE-2026-34909（パストラバーサル＝本来アクセスできないファイルへの到達）、CVE-2026-34910（入力検証不備＝コマンドインジェクション）は、単体でも問題だが、種類の組み合わせとして見ると「入口を開け（アクセス制御）→内部を覗き（パストラバーサル）→任意の命令を実行する（コマンドインジェクション）」という、攻撃者が段階的に権限を広げる典型的な連鎖の材料がそろっている。3件同時のKEV追加は、この製品群が実際に狙われていることの表れといえる。
ネットワーク機器は、社内外の通信が必ず通る要衝でありながら、更新が後回しにされ、監視の目も届きにくい。UniFiのように広く普及した機器の脆弱性は、攻撃者にとって「同じ手が多数の環境で通じる」規模の利点を持つ。対応はUbiquitiの案内に従う速やかな更新が基本で、管理画面の外部公開の是非もあわせて点検したい。
なぜ重要か
広く普及したネットワーク機器の脆弱性は、一つの手口が多数の環境に通じる「規模の脅威」となる。同日3件（アクセス制御・パストラバーサル・入力検証）は段階的権限拡大の連鎖の材料がそろっており、UniFi運用組織は速やかな更新と管理画面の外部公開の見直しが要点。ネットワーク機器を「更新後回しにしない」運用の教材でもある。
よくある質問（FAQ）
UniFi OSとは何ですか。
なぜ3件が同時に追加されたのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。