Ubiquiti

Ubiquitiは、UniFi OSに存在する7つの重大な脆弱性を修正するセキュリティアップデートをリリースしました。これには、コマンドインジェクション攻撃に悪用される可能性のある、CVE-2026-50746として追跡されている最高深刻度の脆弱性も含まれています。

CVE-2026-50746の脆弱性は、UniFi Connectアプリケーション（バージョン3.4.16およびそれ以前）に影響を及ぼします。これは、Ubiquitiの顧客が単一のインターフェースを通じて、商業ビルの運用（スマートLED照明システムや電気自動車用充電器など）を自動化・管理するために利用できる管理ソフトウェアスイートです。

「ネットワークへのアクセス権を持つ悪意のある攻撃者は、UniFi Connectアプリケーションに見つかった不適切なアクセス制御の脆弱性を悪用し、ホストデバイス上でコマンドインジェクションを実行する可能性があります」とUbiquitiは説明した。

image

同社は、潜在的な攻撃からシステムを保護するため、影響を受けるUniFi Connectアプリをバージョン3.4.20以降に更新するようユーザーに勧告した。

木曜日、Ubiquitiはさらに6件の重大なセキュリティ問題（CVE-2026-50747、CVE-2026-50748、 CVE-2026-54400、CVE-2026-54402、CVE-2026-55115、 CVE-2026-55116）に対し、UniFi Talk、UniFi Access、UniFi Protectアプリケーション、同社のUniFi OS Server、および幅広いUbiquiti製ルーター、ゲートウェイ、NAS、監視システムにおいて修正パッチを適用しました。

Ubiquitiは、これらの脆弱性のうち、修正される前に実環境で悪用されたものがあったかどうかについてはまだ明らかにしていないが、そのうち6つはユーザーの操作を必要としない、比較的単純な攻撃で悪用可能であることを明らかにした。

脅威インテリジェンス企業のCensysによると、現在、オンライン上で公開されているUniFi OSのインスタンスは10万件以上に上り、その大半（約5万件のIPアドレス）が米国で確認されています。ただし、これらのセキュリティ上の欠陥に対してすでに対策が施されているものや、ハニーポットであるものの数に関する詳細は明らかになっていません。

​さらに、Censysのデータには過去のスキャン結果も含まれており、現在インターネット上に公開されているシステムの数を正確に反映していない可能性がある。

Internet-exposed UniFi OS instances
インターネットに公開されているUniFi OSインスタンス（Censys）

近年、国家が支援する脅威グループやサイバー犯罪ハッカーグループは、Ubiquiti製品を頻繁に標的としており、それらを乗っ取って悪意のある活動を隠蔽するためのボットネットを構築しています。

例えば、2024年2月、FBIは、ロシアの総参謀本部情報総局（GRU）がサイバースパイ攻撃において悪意のあるトラフィックを中継するために使用していた、Ubiquiti Edge OSルーターによるボットネット「Moobot」を摘発した。

その4年前の2022年4月には、米国 サイバーセキュリティ・インフラセキュリティ庁（CISA）も、Ubiquiti AirOSに存在する重大なコマンドインジェクションの脆弱性（CVE-2010-5330）を、現在悪用されている脆弱性のリストに追加し、政府機関に対して3週間以内にデバイスのパッチ適用を命じた。

さらに最近では、6月にCISAは、1か月前にパッチが適用された UniFi OSの3つの最大深刻度の脆弱性がハッカーによって積極的に悪用されていると警告し、各機関に対して3日以内にシステムのセキュリティ対策を講じるよう義務付けました。

その後、Bishop Fox社は、これらの脆弱性を連鎖させることで、特権を昇格させた状態でリモートコード実行が可能であることを実証し、防御担当者が自身の環境内の脆弱なインスタンスを特定できるよう、無料の検出スクリプトを公開しました。