NECのエンタープライズ向けルータ「UNIVERGE IX-R/IX-V」シリーズに、認証なしで任意コマンドを実行できる脆弱性（CVE-2026-16876）が見つかった。CVSSスコアはv3.0で9.4、v4.0でも9.3という、ほぼ満点に近い深刻度である。IPAの情報セキュリティ早期警戒パートナーシップを通じ、ソフォスの榎田小次郎氏が発見・報告した。
脆弱性の正体は「認証の欠如」 #
原因は CWE-306「重要な機能に対する認証の欠如」。対象のWebGUIに細工したメッセージを送りつけるだけで、ログイン情報を一切持たない攻撃者が任意のコマンドを実行できてしまう。影響を受けるのはIX-R2510／IX-R2520／IX-R2530／IX-R2610-4G／IX-V100のVer1.1〜1.3、Ver1.4.21〜1.4.28、Ver1.5.23。NECはVer1.4.34またはVer1.5.29への更新を案内しているが、更新が難しい環境向けの回避策は「WebGUIを無効化する」の一択しかない。
| 項目 | 内容 |
|---|---|
| 認証要否 | 不要（未認証で攻撃可） |
| 攻撃経路 | WebGUI（リモートから到達可能な場合あり） |
| 影響 | 任意コマンド実行 |
| 危険度 | CVSS 9.4 |
拠点ルータという「境界」が破られる怖さ #
このクラスの機器はVPN終端や拠点間接続を担う、いわばネットワークの門番だ。門番自体が認証なしで乗っ取られれば、内部ネットワークへの侵入・トラフィックの盗聴・他拠点への横展開まで一直線になる。しかもルータのWebGUIは「社内からしか触れないだろう」という油断で外部公開設定のまま放置されがちで、過去にも同種の認証欠如が国内外の中堅ベンダー製ルータで繰り返し見つかってきた。今回のCVSS 9台という数字は、単なる紙上のスコアではなく「即座にリモートから制御を奪われ得る」という現実の重みを反映している。
管理者がまず取るべき行動は単純だ。WebGUIをインターネットに晒していないか棚卸しし、可能なら即座にアクセスを社内網限定に絞ったうえで、ファームウェアを速やかにVer1.4.34／1.5.29系へ更新すること。パッチ適用より先に「無効化できる機能は無効化する」姿勢が、この手の脆弱性では被害を防ぐ最短ルートになる。
COMMENTS 0
No comments yet — be the first to leave one.