UbiquitiがUniFi OSの最大深刻度の脆弱性含む25件を修正、10万台超が影響範囲に

Ubiquiti warns of new max severity UniFi OS vulnerability

元記事は一次情報へのリンクです元記事を読む

5行でつかむ要点

Ubiquitiは2026年7月8日、Security Advisory Bulletin 066を公開し、UniFi OSおよび関連アプリケーション群の25件の脆弱性を修正した。

最も深刻なCVE-2026-50746(CVSS 10.0)はUniFi Connect Applicationのアクセス制御不備で、ネットワークアクセスさえあれば未認証でコマンドインジェクションが可能。

UniFi Talkの認証済みSQLインジェクション(CVE-2026-50747、CVSS 9.9)など、他の重大な脆弱性も同時に公開された。

家庭用ではなく事務所や店舗でUniFi機器を管理業務に使っている運用担当者は、25件という件数の多さからまとめて確認する時間を確保したい。

個々のCVEごとに対象機種とファームウェアバージョンが異なるため、Ubiquiti公式アドバイザリの一覧で機種ごとに照合する必要がある。

脆弱性の全体像

Ubiquitiが公開したSecurity Advisory Bulletin 066は、UniFi OSおよび関連アプリケーション群にまたがる25件の脆弱性をまとめて修正するものだ。最も深刻なCVE-2026-50746(CVSS 10.0)はUniFi Connect Applicationのアクセス制御不備で、ネットワークアクセスさえあれば未認証でコマンドインジェクションが可能になる。UniFi Talkの認証済みSQLインジェクション(CVE-2026-50747、CVSS 9.9)も同時に公開された。

影響範囲の広さ

インターネットに露出しているUniFi OSインスタンスは10万台以上とされ、家庭用のWi-Fiルーターから企業のネットワーク管理基盤まで、対象は幅広い。一部の脆弱性は攻撃複雑度が低くユーザー操作も不要とされており、悪用のハードルが低い点が実務上のリスクを高めている。

IoT機器のパッチ運用という構造的な課題

ネットワーク機器や監視カメラのようなIoT機器は、PCやサーバーと違って自動更新の仕組みが弱かったり、管理者が存在を忘れがちだったりする傾向がある。25件もの脆弱性が一度にまとめて公開されたのは、裏を返せば定期的な内部監査や外部診断が機能している証拠でもあるが、それを実際に適用するかどうかは利用者側の運用に委ねられている。

対応の実際

自宅の家庭用ルーターとして使っている場合も、企業でネットワーク管理基盤として使っている場合も、管理画面からファームウェアの更新状況を確認する価値がある。特にCVSS 10.0の未認証コマンドインジェクションが含まれる以上、後回しにしないことが望ましい。対象バージョンや詳細な修正内容はBleepingComputerの記事(https://www.bleepingcomputer.com/news/security/ubiquiti-warns-of-new-max-severity-unifi-os-vulnerability/)およびUbiquitiの公式アドバイザリで確認できる。