Ubiquitiは、脅威アクターが権限を持たずリモートから悪用できる、新たな最大深刻度の脆弱性3件に対してセキュリティパッチをリリースしました。
1つ目(CVE-2026-77537として追跡)は、未認証の攻撃者がビデオ監視管理プラットフォーム「UniFi Protect Application」に存在する不適切な入力検証の脆弱性を悪用し、パッチ未適用のデバイスを侵害することを可能にするものです。
Ubiquitiはまた、CRLFインジェクションの欠陥(CVE-2026-77550)にも対応しました。権限を持たないリモートの攻撃者がこれを悪用すると、UniFi OSデバイスまたはインスタンスの認証をバイパスできます。
「悪意のある行為者がネットワークにアクセスできる場合、特定のデバイスに存在するCRLFシーケンスの不適切な無害化に関する脆弱性(CRLFインジェクション)を悪用し、当該のUniFi OSデバイスまたはインスタンスの認証をバイパスできる可能性があります」と同社は説明しています。
本日パッチが適用された3つ目の最大深刻度の脆弱性は、VoIP(Voice over IP)電話システム「UniFi Talk Application」における不適切な入力検証に起因するコマンドインジェクションの脆弱性(CVE-2026-77554)です。
同社は、UniFi Protect Application 7.2.105以降、UniFi Talk Application 5.3.2以降、UniFi OS Server 5.1.21以前において、これらの脆弱性に対処しました。
Ubiquitiは、これらのセキュリティ脆弱性がパッチ適用前に実際に悪用されていたかどうかについてはまだ明らかにしていませんが、ユーザーの操作を必要としない低複雑度の攻撃で悪用可能であるとしています。
木曜日には、Ubiquitiはさらに18件の重大(クリティカル)深刻度のセキュリティ問題にパッチを適用しています。対象は、同社のUniFi OS Serverから、集中型ネットワーク管理プラットフォームであるUniFi Network Application、エッジコンピューティング用ハードウェアアプライアンスであるUniFi Protect AI Key、さらに多数のUbiquiti製ルーター、ゲートウェイ、NAS、監視システムまで、幅広い製品に及びます。
脅威インテリジェンス企業のCensysは現在、10万台を超えるUniFi OSインスタンスがオンライン上に公開されていることを把握していますが、そのうちどれだけがハニーポットであるか、あるいは既にこれらの脆弱性に対して対策済みであるかについての詳細は不明です。ただし、Censysのデータには過去のスキャン結果も含まれている可能性があり、インターネットに公開されているシステムの実数を正確に反映していない場合があります。
国家の支援を受けたハッキング集団やサイバー犯罪者は、近年Ubiquiti製品を標的にすることが多く、大規模なボットネットの構築に利用して脅威アクターの悪意ある活動を隠蔽してきました。
例えば2024年2月、FBIはMoobotを解体しました。これは、ロシア参謀本部情報総局(GRU)がサイバースパイ攻撃において悪意あるトラフィックのプロキシとして利用していた、Ubiquiti製Edge OSルーターで構成されるボットネットです。
さらに最近では6月に、CISAが連邦機関に対し、1か月前にパッチが適用されていたにもかかわらず実際に悪用が続いていた、別の3件の最大深刻度のUniFi OS脆弱性について、3日以内にシステムを保護するよう義務付けました。
その後、セキュリティ企業のBishop Foxが実証したように、これらの脆弱性は連鎖的に悪用することで、昇格した権限によるリモートコード実行を達成できる可能性があります。
