DJIドローン16機種の脆弱性 CVE-2026-77812ほか4件

DJI製ドローン16機種に、4件の脆弱性が公表されました。ドローンが持っているWi-Fiのパスワードが電波から平文で読み取れるもの（CVE-2026-77812、CVSS 9.4）、Bluetooth経由でWi-Fi設定を書き換えられ、飛行中の機体に指示を出せる可能性があるもの（CVE-2026-78306、CVSS 8.5）、機体に保存された写真や動画が誰でも取り出せるもの（CVE-2026-78255、CVSS 8.7）、そして撮影データの転送を妨害できるもの（CVE-2026-78321、CVSS 6.0）です。対象はMini・Air・Mavic・Neo・Flip・Avataの各シリーズで、Mavic 4 ProやMini 5 Proといった現行の主力機も含まれます。

4件は組み合わせて使えます。近くにいる第三者がまずWi-Fiのパスワードを盗む、あるいは自分の知っている値に書き換える。そのままドローンのネットワークに入り、保存されている撮影データを丸ごと持ち出す。という流れが成立します。4件とも解消にはファームウェアの更新が必要で、設定変更などの利用者側の回避策では塞げません。NVDの各記載にも「解消にはベンダーのファームウェア更新が必要」と明記されています。業務でドローンを飛ばしている会社や自治体は、機体ごとのファームウェアの版を確認してください。

今回公表された脆弱性は4件

CVE-2026-77812: Bluetoothの通信が暗号化されておらず、Wi-Fiのパスワードが平文で流れる

DJIのドローンは、スマートフォンのDJI Flyアプリとやりとりするときに「DUML」という独自の通信手順を使います。このDUMLのやりとりが、Bluetooth Low Energy（BLE。近距離で使う省電力のBluetooth）の上を暗号化されないまま流れています。スマホからWi-Fiで機体につなぐとき、あるいは撮影データを高速転送するQuickTransferモードに切り替えたときに、この経路でWi-Fiの接続情報がやりとりされます。

BLEの電波が届く範囲にいる第三者は、その通信をただ受信するだけで、次のものを平文のまま取り出せます。

• ▸ドローンのWi-FiのSSID（ネットワーク名）とPSK（接続パスワード）
• ▸セッションのUUID識別子。ドローンが「信頼済みの端末」と「知らない端末」を見分けるために使っている唯一の材料

やっかいなのは、この識別子まで一緒に漏れる点です。DJIのドローンは、知らない端末が接続してきたときに機体側で物理的な確認操作を求める仕組みになっていますが、盗んだUUIDをそのまま送り返せばその確認手順を飛ばせます。さらにNVDの説明には、次の3点が挙げられています。

• ▸接続情報は、操縦者が手動でWi-Fi設定を初期化しない限り変わらない。一度盗まれると、その情報は無期限に有効
• ▸攻撃は完全に受動的で、こちらから電波を出さず接続もしない。操縦者にもドローンにも、見られたという痕跡が残らない
• ▸必要なのはBLEのスニファ（電波を傍受する機材）と、DJI Flyで一度つなぐ場面に居合わせることだけ

CVSSは4.0基準で9.4（CRITICAL）。隣接ネットワーク（電波の届く範囲）からの攻撃を前提に、機密性・完全性・可用性のすべてが「高」と評価されています。分類はCWE-311（重要情報の暗号化の欠如）です。

CVE-2026-78255: 機体内の写真と動画が、認証なしで取り出せる

DJIのドローンは、撮影した写真や動画をスマホへ渡すために、機体の中でHTTPのメディアサーバを動かしています。このサーバの /v2 というURLが、要求してきた相手が誰かを一切確認しないまま、保存済みのファイルを返します。しかもファイル名の付き方に規則性があるため、順番に試していけば、機体に何が入っているかを総当たりで調べられます。

内部ネットワークに入れた第三者は、これで撮影データを丸ごと持ち出せます。NVDはそこから読み取られうるものとして「私的な場所、資産、移動履歴、識別可能な個人、操縦者の行動パターン」を挙げています。CVSSは4.0基準で8.7、分類はCWE-306です。

CVE-2026-78306: Bluetooth経由でWi-Fi設定を書き換えられ、飛行にも影響しうる

DJIのドローンは、Bluetooth越しに相手を確認しないままDUMLのコマンドを受け付ける窓口を開けています。Bluetoothの電波が届く範囲にいる第三者は、ここからWi-Fiの設定値を書き換えられます。書き換えられる項目として、NVDはSSID、PSK（接続パスワード）、MACアドレス、規制上の国コード、無線チャンネルを挙げています。

影響は2方向です。ひとつは侵入。パスワードを自分の知っている値に上書きすれば、盗み聞きする必要すらなくドローンのWi-Fiに入れます。NVDはその先について「飛行制御インタフェースへのアクセスを得て、飛行コマンドを発行しうる」と記載しています。

もうひとつは妨害です。細工したDUMLコマンドで、Wi-FiとBluetoothを停止・再起動させる、接続中の端末を切断する、無線設定を初期化するといった操作ができます。NVDはこれによって「飛行中の操縦者の無線制御、映像、テレメトリの接続が乱される可能性がある」としています。CVSSは4.0基準で8.5で、完全性と可用性が「高」、機密性は「なし」——情報を盗むのではなく機体の挙動そのものに手を出す脆弱性と評価されています。分類はCWE-306です。

CVE-2026-78321: 写真と動画の転送を止められる

機体内のHTTPメディアサーバに、同時接続数やリクエストの頻度を制限する仕組みがありません。ドローンの内部ネットワークに入れた第三者が、保存済みのファイルを繰り返し要求し続けると、サーバの接続の受け皿を使い切ってしまいます。その結果、正規の要求が処理されなくなり、DJI FlyアプリがQuickTransferモードで写真や動画を取り出せなくなります。CVSSは4.0基準で6.0、分類はCWE-770（リソース消費に対する制限の欠如）です。4件のなかでは影響が最も限定的ですが、現場では「転送できない」という形で作業が止まります。

影響を受ける機種と、直ったファームウェア

4件とも対象機種と修正版は同一です。NVDには「（機種名）until（バージョン）」という形で記載されており、そのバージョンより前が影響を受けます。裏を返せば、表の右側の版へ上げれば解消します。

攻撃されているのか

2026年8月24日時点で、実際に攻撃に使われたという報告は確認できません。CISAのKEV（実際に悪用が確認された脆弱性の一覧）はカタログ版 2026.08.21・全1,674件を実査しましたが、4件とも未収載で、そもそもDJI製品のエントリ自体がゼロです。悪用の見込みを数値化するEPSSは、CVE-2026-77812が0.00062（パーセンタイル0.011）と極めて低く、残る3件は公開当日のためまだ算出されていません。公開されている実証コード（PoC）も確認できていません。KEVの状況はCISA KEV ダッシュボード（日本語版）でも追えます。

ただし、EPSSの低さをそのまま「安全」と読むのは適切ではありません。EPSSは主にインターネット越しの大量スキャンで悪用される見込みを測る指標で、今回のように「その場に居合わせる必要がある」攻撃とは相性が悪いためです。4件とも、攻撃者がBluetoothまたはWi-Fiの電波が届く距離にいることが前提です。逆に言えば、狙った相手の飛行現場に近づける立場の人間にとっては、成立しやすい攻撃だということでもあります。撮影内容が外に出て困る現場——インフラ点検、工場や物流施設の敷地内、警備、報道、測量——ほど、この形は問題になります。とくにCVE-2026-78306は、傍受のように「接続する場面に居合わせる」必要すらありません。

使っているファームウェアを確認して更新する

対処はファームウェアの更新だけです。設定を変える、Bluetoothを切る、QuickTransferを使わない、といった運用側の工夫では塞げません。手順は次のとおりです。

• ▸版を確認する — 機体とスマホを接続した状態でDJI Flyアプリを開き、「設定」→「情報」からファームウェアのバージョンを確認します。産業用途でDJI Pilotを使っている場合も同様です
• ▸更新する — 新しい版があればアプリ上に通知が出ます。出ない場合は、パソコンに「DJI Assistant 2」を入れ、機体をUSBでつないで更新します
• ▸送信機とバッテリーも一緒に上げる — 機体だけ更新して送信機が古いままだと接続できなくなる場合があります。予備バッテリーも順に装着して更新してください
• ▸更新後にWi-Fi設定を初期化する — CVE-2026-77812で漏れる接続情報は、手動で初期化しない限り変わりません。すでに漏れていた場合、ファームウェアを上げても古いパスワードはそのまま有効です。更新後にドローンのWi-FiのSSIDとパスワードを再設定してください。この一手間を飛ばすと更新の効果が半減します
• ▸機体内の撮影データを消す — 内部ストレージやmicroSDに古い撮影データを溜めたままにしない。持ち出される対象そのものを減らします

組織で複数の機体を運用しているなら、機体番号とファームウェアの版の対応表を一度作っておくと確認が早く済みます。ドローンは端末管理の対象から漏れやすく、「誰がどの機体を持っているか」が分からない状態になりがちです。今回のように全機種横断で更新が要る場面では、その台帳の有無がそのまま対応の速さになります。

気になる点 — DJIは公式のセキュリティ情報を出していない

4件のCVEがNVDで参照先として挙げているDJIのURLは、いずれも同じ1本だけです。そしてそのページを開いても、セキュリティに関する記述はありません。中身はQuickTransfer機能の使い方と接続時のFAQで、CVE番号も脆弱性の説明も、どの版で直したかの記載も出てきません。修正版の根拠として使えるベンダー側の文書が存在しない状態で、本記事の機種・バージョン一覧がNVDの記載を写したものになっているのはそのためです。

この会社には前例があります。2024年4月にNozomi Networks Labsが公表したDJI Mavic 3の調査で、今回のCVE-2026-78255とほぼ同じ「メディアサーバに認証がない」という指摘が CVE-2023-6949 として採番されました。このときDJIは、Wi-Fiパスワード生成の弱さ（CVE-2023-6951）を直せば遠隔からの経路はなくなる、スマホ側が乗っ取られるのは利用者の責任だとして、この指摘を「disputed（異議あり）」扱いにしています。

今回のCVE-2026-77812と78306は、まさにその「Wi-Fiパスワードの経路」が別の形で開いていたという指摘です。2年前に「そちらを直せば問題ない」とされた側が、BLEから漏れていた・書き換えられた。ベンダーの主張がそのまま通るとは限らない一例です。なお4件を採番したのはCIRCL（ルクセンブルクのコンピュータインシデント対応センター）で、DJI自身ではありません。

日本語での状況も付け加えます。2026年8月24日時点でJVN・JVN iPediaに登録はなく、JPCERT/CCやIPAの注意喚起も出ていません。日本語の解説記事も見当たらず、国内の運用者が気づける経路はほとんどない状態です。

よくある質問

参照元

• ▸NVD - CVE-2026-77812（DUMLのBLE通信が暗号化されていない・9.4）
• ▸NVD - CVE-2026-78255（HTTPメディアサーバの認証欠如・8.7）
• ▸NVD - CVE-2026-78306（未認証DUMLでWi-Fi設定を書き換え・8.5）
• ▸NVD - CVE-2026-78321（メディアサーバの接続数制限の欠如・6.0）
• ▸CISA - Known Exploited Vulnerabilities Catalog（版 2026.08.21・全1,674件を実査。DJIのエントリ自体なし）
• ▸FIRST - EPSS（CVE-2026-77812 = 0.00062 / 2026-08-23版）
• ▸Nozomi Networks Labs - DJI Mavic 3 Drone Research Part 2: Vulnerability Analysis（CVE-2023-6949をDJIがdisputedとした経緯）
• ▸DJI サポート - QuickTransfer に関するページ（両CVEが唯一の参照先として挙げるURL。セキュリティに関する記述はなし）
• ▸関連記事：CISA KEV ダッシュボード（日本語版）（当サイト）