連載のこれまでの回はこちらを参照。

  • 家庭や企業で使うルータにも重大な脆弱性が見つかった　Photo：PIXTA

    家庭や企業で使うルータにも重大な脆弱性が見つかった

今週、何が危険？企業・家庭に影響する脆弱性まとめ

本記事では、2026年3月第4週に明らかになった最新のサイバーセキュリティ動向について解説する。対象は家庭用ルーターから企業向けネットワーク機器、さらにはスマート家電まで幅広く、現代のデジタル環境におけるリスクの広がりを整理する。

それでは、今週注目すべきサイバー攻撃動向を詳しく見ていこう。

バッファロー製ルータに複数の脆弱性、何が危険でどう対策する？

バッファローは2026年3月23日、バッファローが販売するWi-FiルーターやVPNルーターなどのネットワーク製品において、複数の脆弱性が判明したと公表した(参考「一部ネットワーク商品における複数の脆弱性とその対処方法（JVN#83788689） | バッファロー」)。

対象となるのは、家庭用ルーターや法人向けアクセスポイントなど多岐にわたる。対象となる製品は次のとおり。

  • WCR-1166DHPL
  • WSR3600BE4-KH
  • WSR3600BE4P
  • WXR-1750DHP
  • WXR-1750DHP2
  • WXR18000BE10P
  • WXR-1900DHP
  • WXR-1900DHP2
  • WXR-1900DHP3
  • WXR-5950AX12
  • WXR-6000AX12B
  • WXR-6000AX12P
  • WXR-6000AX12S
  • WZR-1166DHP
  • WZR-1166DHP2
  • WZR-1750DHP
  • WZR-1750DHP2
  • WZR-S1750DHP
  • WRM-D2133HP
  • WRM-D2133HS
  • WTR-M2133HP
  • WTR-M2133HS
  • WEM-1266
  • WEM-1266WP
  • VR-U300W
  • VR-U500X
  • WAPM-1266R
  • WAPM-1266WDPR
  • WAPM-1266WDPRA
  • WAPM-1750D
  • WAPM-2133R
  • WAPM-2133TR
  • WAPM-AX4R
  • WAPM-AX8R
  • WAPM-AXETR
  • WAPS-1266
  • WAPS-AX4
  • FREESPOT
  • FS-S1266
  • WZR-600DHP
  • WZR-600DHP2
  • WZR-600DHP3
  • WZR-900DHP
  • WZR-900DHP2
  • WZR-S600DHP
  • WZR-S900DHP

確認された脆弱性は、情報漏洩やOSコマンドインジェクション、認証回避、サービス運用妨害(DoS)など計6項目だ。これらの脆弱性が悪用された場合、設定情報を窃取されたり、攻撃者によって任意のコードやOSコマンドを実行されたりする恐れがある。また、インターネット側からのリモートアクセス設定を許可している場合は、外部から直接攻撃を受ける危険性も指摘されている。

バッファローは対策として、脆弱性を修正した最新ファームウェアを公開した。対象製品のうち、自動更新機能が有効になっているモデルについては順次アップデートが適用されるが、それ以外の製品や手動設定としているユーザーに対しては、早急なダウンロードと適用を呼びかけている。

一方で、すでにサポート期間を終了している「WZR-600DHP」などの旧型モデルについては、対策ファームウェアの提供は行われない。バッファローはこれらの製品について、恒久的な対策として使用を停止し、後継の商品へ移行することを推奨している。

三菱電機のエアコンにWi-Fi脆弱性、企業利用でも影響はある？

三菱電機は2026年3月24日、三菱電機製複数の家電製品において、Wi-Fi通信処理に関する脆弱性が存在することが判明したと発表した。原因は、Realtek製チップ向けWi-Fiドライバーにおけるヒープベースのバッファーオーバーフローで、サービス拒否(DoS)を引き起こす可能性があるとされている(参考「複数の家電製品のWi-Fi通信処理におけるRealtek社製チップに起因するサービス拒否（DoS）の脆弱性」)。

  • 複数の家電製品のWi-Fi通信処理におけるRealtek社製チップに起因するサービス拒否（DoS）の脆弱性

    複数の家電製品のWi-Fi通信処理におけるRealtek社製チップに起因するサービス拒否（DoS）の脆弱性

この脆弱性(CVE-2025-49604)は、Wi-Fiフレームの再結合処理時にフレームサイズの検査が不十分であることに起因する。攻撃者が同一ネットワーク上の機器から細工した不正なWi-Fiフレームを送信すると、受信処理でバッファーオーバーフローが発生し、Wi-Fi通信が一時的に停止する可能性がある。これにより、スマートフォンなどからの機器登録や操作、情報取得ができなくなるおそれがある。

一方で、当該製品は個人情報などの機密情報を保持しておらず、この脆弱性によって情報漏えいや不正操作が発生するリスクはないとしている。また、Wi-Fi機能を使用していない場合や、Wi-Fi非対応製品は影響を受けない。

CVSS基本値は5.1とされ、中程度の深刻度に分類される。攻撃が成立した場合でも、機器は自動再起動により復旧する仕様で、復旧しない場合は手動での再起動が必要となる。

対象となるのは、主にルームエアコンを中心とした多数の製品で、国内外の2020年以降のモデルが広範に含まれる。主な製品種類は次のとおり(参考「JVNVU#99483706: 複数の三菱電機製家電製品に搭載されているRealtek社製チップ向けWi-Fiドライバにおけるヒープベースのバッファオーバーフローの脆弱性」)。

  • ルームエアコン
  • パッケージエアコン
  • ルームエアコン向け無線LANアダプター
  • 冷蔵庫
  • ヒートポンプ給湯機・HEMS対応アダプター、無線LANアダプター
  • バス乾燥・暖房・換気システム
  • 三菱HEMS用 制御アダプター、無線LANアダプター
  • ロスナイセントラル換気システム
  • 換気扇用・ロスナイ用スマートスイッチ
  • IHクッキングヒーター
  • 炊飯器

対策として、Wi-Fiアダプターのソフトウェアを更新することで脆弱性は解消される。対策済みバージョンは「Ver42.00以降」で、2026年4月上旬から7月下旬にかけて順次提供される予定だ。

ユーザーに対しては、専用アプリ(「MyMU」や「霧ヶ峰REMOTE」など)を通じてバージョン確認と更新を行うよう呼びかけている。対策版が提供されるまでの間は、軽減策の実施が推奨されるとしている。

今回の事案は、IoT家電における通信機能の脆弱性管理の重要性をあらためて示すものとなった。とくにWi-Fi接続を前提としたスマート家電の普及に伴い、組み込みソフトウェアの安全性確保が今後の課題と言える。

家電製品は企業においても使われることが多く、こうした製品がサイバー攻撃の発端となる可能性が再度示されたと言える。まず企業は自社が保有しているネットワークに接続可能なすべてのデバイスを把握し、それらのリスクについて定期的に評価を行う必要があると言える。

シャープ製ルータに認証不備、どこまで侵入される可能性がある？

シャープは2026年3月25日、シャープ製の一部のルーター製品にセキュリティ上の脆弱性が存在すると発表した。対象製品の利用者に対してソフトウェア更新を呼びかけている(参考「製品セキュリティアドバイザリ｜製品セキュリティ：シャープ株式会社」)。

  • 製品セキュリティアドバイザリ｜製品セキュリティ：シャープ株式会社

    製品セキュリティアドバイザリ｜製品セキュリティ：シャープ株式会社

発表によると、問題の脆弱性は、機器に搭載されたWeb APIの一部が認証なしで利用可能となっている点にある。これにより、当該機器に関する情報が第三者に取得される可能性があるほか、管理者パスワードが初期設定のまま使用されている場合、不正アクセスを受ける恐れがある。

この脆弱性にはCVE番号「CVE-2026-32326」が割り当てられており、CVSS v4.0で6.9、CVSS v3.0で5.7と評価されている。分類上は「重要な機能に対する認証の欠如(CWE-306)」に該当する。

対象製品は、NTTドコモ、ソフトバンク、KDDI向けに提供されている複数のモバイルルーターおよびホームルーターで、具体的には「home 5G HR01」「home 5G HR02」「Wi-Fi STATION SH-52A/SH-52B/SH-54C」「5Gモバイルルーター SH-U01」「Pocket WiFi 5G A503SH」「Speed Wi-Fi 5G X01」などが含まれる。いずれも特定のバージョンおよびそれより前のバージョンのソフトウェアが影響を受ける。

影響を受ける製品およびバージョンは次のとおり(参考「JVN#49524110: シャープ製ルーター製品における一部のweb APIに対する認証欠如の脆弱性」)。

  • NTTドコモ：home 5G HR01 バージョン 38JP_0_490およびそれより前のバージョン
  • NTTドコモ：home 5G HR02 バージョン S5.A1.00およびそれより前のバージョン
  • NTTドコモ：Wi-Fi STATION SH-52A バージョン 38JP_2_03Jおよびそれより前のバージョン
  • NTTドコモ：Wi-Fi STATION SH-52B バージョン S3.87.15およびそれより前のバージョン
  • NTTドコモ：Wi-Fi STATION SH-54C バージョン S6.64.00およびそれより前のバージョン
  • ソフトバンク：5Gモバイルルーター SH-U01 バージョン S4.48.00およびそれより前のバージョン
  • ソフトバンク：Pocket WiFi 5G A503SH バージョン S7.41.00およびそれより前のバージョン
  • KDDI：Speed Wi-Fi 5G X01 バージョン 3RJP_2_03Iおよびそれより前のバージョン

シャープはすでに脆弱性を修正したソフトウェアを提供しており、各製品のサポートページから更新を行うよう求めている。自動更新設定が有効な機器については、すでに更新が適用されている場合もあるという。

一方で、「Wi-Fi STATION SH-52A」および「Speed Wi-Fi 5G X01」については修理受付およびソフトウェア更新が終了している。このため同社は回避策として、利用者に対しWebブラウザーからルーターの設定画面にログインし、初期パスワードを変更するよう推奨している。

近年、家庭用およびモバイルルーターはIoT機器の中でも攻撃対象となりやすく、認証不備や初期設定のままの運用がリスクとなるケースが指摘されている。今回の事案も、適切なソフトウェア更新とパスワード管理の重要性をあらためて示すものといえる。

フォトフレームに脆弱性、遠隔操作の恐れ、グリーンハウスが注意喚起

グリーンハウスは2026年3月23日、グリーンハウス製デジタルフォトフレーム「GH-WDF10A」に脆弱性が存在することを確認したと発表した。特定の条件下において、第三者によって機器が不正に操作される可能性があるとしている(参考「デジタルフォトフレーム GH-WDF10A に関する重要なお知らせ | GREEN HOUSE グリーンハウス」)。

  • デジタルフォトフレーム GH-WDF10A に関する重要なお知らせ｜GREEN HOUSE グリーンハウス

    デジタルフォトフレーム GH-WDF10A に関する重要なお知らせ ｜ GREEN HOUSE グリーンハウス

対象となるのは、グリーンハウスが販売するデジタルフォトフレーム「GH-WDF10A」。この脆弱性により、機器内の情報が参照される可能性や、設定が変更される可能性、さらには不正な動作を引き起こされるおそれがあるとしている。

問題を受け、グリーンハウスは改修ファームウェアを用意し、順次配信を開始している。ユーザーに対しては、製品をインターネットに接続した状態で使用し、最新のファームウェアへ更新するよう呼びかけている。更新はOTA(Over-the-Air)方式で提供される。

また、アップデートが完了するまでの間については、第三者が容易に機器へ接触・操作できる環境での使用に注意するよう求めている。

TP-Link製ルータに重大脆弱性、乗っ取りリスクはどこまで高い？

TP-Link Systemsは2026年3月25日(現地時間)、TP-Link製ルーター「Archer NX200」「Archer NX210」「Archer NX500」「Archer NX600」に複数の重大な脆弱性が存在すると発表し、セキュリティアドバイザリーを公開した。対象となる脆弱性は、CVE-2025-15517、CVE-2025-15518、CVE-2025-15519、CVE-2025-15605で、いずれも高い深刻度(CVSSスコア8.5～8.6)で評価されている(参考「Security Advisory on Multiple Vulnerabilities on TP-Link Archer NX200, NX210, NX500 and NX600 (CVE-2025-15517 to CVE-2025-15519 and CVE-2025-15605)」)。

今回公表された脆弱性のうち、CVE-2025-15517はHTTPサーバーの認証不備に起因するもので、特定のCGIエンドポイントにおいて認証チェックが欠如している。この欠陥により、攻撃者は認証なしで本来ログインが必要な操作にアクセスでき、ファームウェアのアップロードや設定変更といった管理者権限の操作を実行可能となる。

CVE-2025-15518およびCVE-2025-15519は、無線制御およびモデム管理に関するCLI処理におけるコマンドインジェクションの脆弱性だ。不適切な入力処理により、細工された入力がOSコマンドとして実行される可能性がある。これらは管理者権限を持つ認証済みユーザーによる攻撃を前提とするが、悪用された場合、機密性・完全性・可用性のすべてに影響を及ぼす恐れがある。

CVE-2025-15605では設定データの暗号化機構にハードコードされた暗号鍵が使用されている問題が確認された。この脆弱性により、認証済みの攻撃者は設定ファイルの復号および再暗号化が可能となり、設定内容の改ざんや情報漏えいにつながる可能性がある。

影響を受ける製品は以下のとおりで、いずれも特定バージョン未満のファームウェアが対象となる。

  • Archer NX200 v1.0系 1.8.0 Build 260311よりも前のバージョン
  • Archer NX200 v2.0系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX200 v2.20系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX200 v3.0系 1.3.0 Build 260309よりも前のバージョン
  • Archer NX210 v2.0系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX210 v2.20系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX210 v3.0系.3.0 Build 260309よりも前のバージョン
  • Archer NX500 v1.0系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX500 v2.0系 1.5.0 Build 260309よりも前のバージョン
  • Archer NX600 v1.0系 1.4.0 Build 260311よりも前のバージョン
  • Archer NX600 v2.0系 1.3.0 Build 260311よりも前のバージョン
  • Archer NX600 v3.0系 1.3.0 Build 260309よりも前のバージョン

TP-Linkは対策として、影響を受ける機器のユーザーに対し、最新のファームウェアへ速やかに更新するよう強く推奨している。

ルーターは運用がはじまるとアップデートを行わずに放置されることがあるが、こうした状態はサイバーセキュリティの観点から好ましくない。企業で使用しているすべてのルーターを把握し、常にサポートされた製品を使い、最新のソフトウェアにアップデートし続けることが望まれる。

実際に攻撃されている脆弱性とは？CISAが警告した3件

米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)は、03/23～03/29にカタログに3つのエクスプロイトを追加した。

CISAが追加したエクスプロイトは次のとおり。

影響を受ける製品およびバージョンは次のとおり。

  • Langflow 1.9.0よりも前のバージョン
  • aquasecurity setup-trivy 0.2.6よりも前のバージョン
  • aquasecurity trivy-action 0.35.0よりも前のバージョン
  • aquasecurity trivy バージョン0.69.4
  • BerriAI LiteLLM 1.82.7およびこれより前のバージョン
  • BerriAI LiteLLM 1.82.8およびこれより前のバージョン
  • F5 BIG-IP 17.5.0から17.5.1.3よりも前のバージョン
  • F5 BIG-IP 17.1.0から17.1.3よりも前のバージョン
  • F5 BIG-IP 16.1.0から16.1.6.1よりも前のバージョン
  • F5 BIG-IP 15.1.0から15.1.10.8よりも前のバージョン

CISAは2026年3月23日から29日にかけて、実際に悪用が確認されている3件の脆弱性を新たにカタログへ追加した。これらは複数のソフトウェアやセキュリティ関連ツール、ネットワーク機器に影響を及ぼすものであり、いずれも不正アクセスや情報漏えいなどのリスクにつながる可能性がある。該当製品を利用している場合は、影響範囲を確認したうえで速やかにアップデートや対策を実施することが重要だ。

企業が今すぐやるべき対策は？ルータ・IoT機器の管理ポイント

本稿で紹介したように、ルーターやIoT機器の脆弱性は家庭・企業を問わず広範囲に影響を及ぼす。認証不備や未更新のソフトウェアは、攻撃者にとって格好の侵入口となる。機器の種類が増えるほど管理の難易度も高まり、リスクは見えにくくなる。

このため、すべての接続機器を把握し、最新のファームウェアへ更新し続けることが重要だ。不要な機能の無効化やパスワード管理の徹底も欠かせない。サイバー攻撃は特別な環境だけの問題ではなく、日常の延長に存在する脅威だ。常に主体的な対策の実施が求められる。

参考