スマートホーム基盤『Home Assistant』に脆弱性 CVE-2026-64825、初期設定・復元を突かれ乗っ取りの恐れ 2026.6.0へ更新を

自宅の家電やIoT機器をまとめて操作できる人気の無料ソフト「Home Assistant（ホームアシスタント）」に、深刻な脆弱性が見つかりました。CVE-2026-64825で、初期設定やバックアップの復元の際に、細工したバックアップファイルを読み込ませると、機器の中の好きな場所に任意のファイルを書き込まれ、最終的に乗っ取られる恐れがあります。ログインは不要で、危険度は9.3（緊急）と評価されています。

開発元は修正版Home Assistant 2026.6.0を公開済みで、これより前のすべてのバージョンが対象です。とくにラズベリーパイなどに入れる「Home Assistant OS」や「Supervised」形式の導入は、ソフトが管理者（root）権限で動くため、成立すると被害が大きくなります。何が起きるのか、自分の環境が危ないのかを順に説明します。

誰が、何のために狙うのか

この欠陥を狙うのは、初期設定の途中や、別のサーバーへ移すためのバックアップ復元の最中にあるHome Assistantを、ネットワーク越しに見つけた攻撃者です。設定が済む前のHome Assistantは、まだ持ち主のアカウントが決まっておらず、外部からバックアップの読み込みを受け付けられる状態にあります。新しく立ち上げた直後の機器や、機器を引っ越すために復元をかけている最中が、狙われやすいタイミングです。

攻撃者は、バックアップの中の名前欄に「/」から始まる本来許されない場所（絶対パス）を指定した細工ファイルを送り込み、機器の中の好きな場所へファイルを書き込みます。本来はバックアップ用の決まったフォルダにしか書けないはずが、この制限をすり抜けられるのが欠陥の中身です。書き込み先を選べるため、起動時に自動実行される設定ファイルなどを上書きすれば、そこからプログラムの実行、つまり乗っ取りへ進めます。

被害は「家電の操作を奪われる」だけでは終わりません。Home Assistantは玄関の鍵、防犯カメラ、室内のセンサー、照明など、生活に直結する機器とつながっています。乗っ取られれば、カメラ映像の盗み見や施錠・解錠の操作、さらには同じ家庭内ネットワークにあるパソコンやスマホへの足がかりにされる恐れがあります。とくにroot権限で動く導入形態では、機器全体を丸ごと支配されかねません。だからこそ、次に示すバージョン確認と更新を早めに済ませておく必要があります。

何が起きるのか（仕組み）

今回の欠陥は「パストラバーサル（ディレクトリ・トラバーサル）」と呼ばれる種類です。パストラバーサルとは、ファイルの保存先を指定する部分に、攻撃者が「上の階層へ移動する」ような細工を混ぜ込み、本来アクセスできないはずの場所のファイルを読み書きさせる手口を指します。

Home Assistantには、設定ごと丸ごと保存・復元できるバックアップ機能があります。バックアップの中には、その内容を説明する情報をまとめたbackup.jsonという管理ファイルが入っています。この管理ファイルの「名前（name）」欄に絶対パスを書き込むと、復元処理が本来のバックアップ用フォルダの制限を無視して、指定された場所にそのままファイルを展開してしまいます。結果として、機器のファイルシステム上の任意の場所にファイルを書き込めます。

Home Assistantを手軽に使える「Home Assistant OS」や「Supervised」形式では、ソフトが管理者（root）権限で動作します。root権限で任意の場所にファイルを書けるということは、システムの重要なファイルを上書きしたり、起動時に実行されるスクリプトを仕込んだりできるということで、そこから機器全体を支配する（フルコントロール）ところまでつながります。ログインが不要で、しかも「バックアップから復元する」という正規の操作を悪用される点が、この欠陥の厄介なところです。

自分の環境は影響を受けるのか（早見表）

影響するかどうかは、使っているHome Assistantのバージョンで決まります。バージョンは、管理画面の「設定」→「システム」→「一般」や、左下のメニューから確認できます。下の表で照らし合わせてください。

とくに危険なのは、Home Assistantをインターネットに直接公開している環境と、これから初期設定する・別サーバーへ復元しようとしている環境です。すでに設定が済み、家庭内ネットワークからしかアクセスできない環境であれば、悪用の窓口は限られますが、修正版が出ている以上は早めに更新しておくのが安全です。

いま何をすればいいのか

対処は、Home Assistantを2026.6.0以降へ更新することです。管理画面に更新の通知が出ていれば、そこから適用できます（更新手順の公式ガイド）。「Home Assistant OS」の場合は「設定」→「システム」→「更新」から、本体とOSの更新を確認してください。更新後、バージョン表示が2026.6.0以降になっていることを確かめます。

すぐに更新できない場合や、これから初期設定・復元を行う場合は、つなぎの措置としてHome Assistantをインターネットへ直接公開しないことが有効です。外部から使いたい場合も、VPNや信頼できる中継の内側に置き、設定画面や復元機能が外部から直接触れられない状態にしてください。バックアップから復元する際は、出所の分からないバックアップファイルを読み込ませないことも重要です。

本記事の公開時点では、この欠陥が実際の攻撃に使われたという報告や、米政府CISAの「実際に攻撃されている脆弱性リスト（KEV）」への登録は確認されていません。ただしHome Assistantは世界中で広く使われており、修正版の公開後は手口が推測されやすくなります。ネットに公開している環境や、これから立ち上げる環境ほど、更新を急ぐべきです。開発元のセキュリティ情報ページもあわせて確認しておくとよいでしょう。

よくある質問（FAQ）

まとめ

自宅の家電やIoT機器をまとめて操作できる人気ソフト「Home Assistant」に、危険度9.3の脆弱性CVE-2026-64825が見つかりました。初期設定やバックアップ復元の際に、細工したバックアップの名前欄に絶対パスを仕込むと、機器の中の任意の場所にファイルを書き込まれ、乗っ取りにつながる恐れがあります。ログインは不要で、root権限で動く「Home Assistant OS」「Supervised」形式では影響がとくに大きくなります。

対処は修正版2026.6.0以降への更新です。あわせて、Home Assistantをインターネットへ直接公開しない、出所の不明なバックアップを復元しない、という基本も徹底してください。現時点で実際の攻撃は確認されていませんが、生活に直結する機器を束ねる基盤だけに、更新は先延ばしにせず済ませておくのが安全です。

参照元

• ▸ NVD - CVE-2026-64825（Home Assistant Core パストラバーサル／任意ファイル書き込み）
• ▸ Home Assistant - セキュリティ情報ページ
• ▸ Home Assistant - リリースノート（修正版2026.6.0）
• ▸ Home Assistant 公式サイト
• ▸ 関連: 攻撃中の脆弱性を追う一覧 CISA KEV（日本語版・当サイト）