Ubiquiti UniFi OS に入力検証不備でコマンドインジェクション（CVE-2026-34910）― 連鎖の決定打、同日追加3件の一角
Ubiquiti UniFi OS の不適切な入力検証(CWE-20)脆弱性。ネットワーク到達者がコマンドインジェクション（機器上で任意の命令を実行させる攻撃）を行える。CISAが2026年6月23日に同社UniFi OSの3件同時でKEV追加、是正期限3日後。NVD公式評価はCVSS 10.0（CRITICAL）。
脆弱性の基本情報
- CVE番号CVE-2026-34910
- CVSS基本値10 CRITICAL
- CVSSベクタCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
- 対象（ベンダー／製品）Ubiquiti UniFi OS
- CWECWE-20
- 悪用状況CISA KEV 掲載（実際の悪用を確認）
- 是正期限2026-06-26（米連邦民生機関・BOD 22-01）
要点
コマンドインジェクションとは、入力欄やリクエストに紛れ込ませた命令を、システムがそのままOSのコマンドとして実行してしまう脆弱性だ。入力を十分に検証・無害化していないと、攻撃者は機器上で任意のコマンドを走らせ、事実上その機器を乗っ取れる。本件はUbiquiti UniFi OS でこれが可能とされ、被害の到達点として最も重い「機器上での任意命令の実行」を意味する。
同日にKEV入りした3件を段階として並べると、本件は連鎖の「決定打」にあたる。CVE-2026-34908（アクセス制御の突破）で入口を開け、CVE-2026-34909（パストラバーサル）で内部の情報に手を伸ばし、本件（コマンドインジェクション）で任意の命令を実行する——個々は異なるCWEでも、普及したネットワークOSという同じ標的に対し、権限拡大の各段が同時にそろった。
CISAが3件まとめて3日の是正期限を課したのは、この組み合わせの危険度を反映したものと読める。
ネットワーク機器上でのコマンド実行は、通信の盗聴・改ざん、他の機器への横展開、持続的な潜伏の拠点化に直結する。対応は個別ではなく3件を一括で塞ぐこと、そして管理画面を外部に晒していないかの確認が要点である。
なぜ重要か
ネットワーク機器上での任意命令実行は、通信の盗聴・改ざんから横展開・持続的潜伏まで被害が広い。同日3件の連鎖の決定打として、UniFi運用組織は3件一括の更新が必須。「普及機器×複数種同時×3日期限」は、KEVの中でも最優先で扱うべきシグナルの組み合わせである。
よくある質問（FAQ）
コマンドインジェクションとは何ですか。
なぜ3件まとめて対応すべきなのですか。
何をすべきですか。
出典（一次情報）
本記事は下記の米国公式データに基づく独自整理です。正確・最新の内容、適用可否は必ず公式・ベンダーでご確認ください。
- CISA KEV Catalog（悪用確認済み一覧）
- NVD（CVE詳細・CVSS）
- ベンダー／参考アドバイザリ
- This product uses data from the NVD API but is not endorsed or certified by the NVD. KEV データは CC0（パブリックドメイン）です。