エレコム製Wi-Fi機器に重大な脆弱性、法人・個人向け7機種に修正ファームウェア公開
2026年7月30日 00:31
エレコム製の法人向けWi-Fi 6アクセスポイント5機種および個人向けルーター2機種の利用者は、直ちに最新のファームウェアへアップデートする必要がある。JPCERT/CCと情報処理推進機構（IPA）は、これらの機器に存在する重要度の高いOSコマンドインジェクション脆弱性などを公表した。悪用には管理者権限が必要だが、同時に公表されたXSS脆弱性と組み合わせることで、攻撃者に機器を完全に制御される恐れがある。
■エレコム製Wi-Fi機器でコマンドインジェクション脆弱性が公表
JPCERT/CCと情報処理推進機構（IPA）は28日、エレコムのネットワーク機器におけるOSコマンドインジェクション脆弱性を公表した（JVN#56870912）。法人向けのWi-Fi 6アクセスポイント5機種と個人向けルーター2機種に深刻なコマンド実行の脆弱性が存在し、全7機種向けの修正ファームウェアが同時に公開されている。最も深刻な2つの脆弱性はCVSS 4.0スコアで8.6と評価されており、管理者のログイン認証情報を持つ攻撃者が、影響を受ける機器上で任意のOSコマンドを実行できる可能性がある。
この「認証が必要」という条件は注意深く読み解く必要がある。法人向け機器で同時に公表されたクロスサイトスクリプティング（XSS）脆弱性によって、インジェクション脆弱性を悪用する前に管理者のセッション情報を盗み出す現実的な経路が生じるためだ。しかし、より差し迫った問題は、同種の脆弱性が繰り返し見つかっている点にある。エレコム製品の同じWebUIコードベースでは、2021年から現在までに、OSコマンドインジェクション脆弱性が少なくとも5回のJPCERT注意喚起サイクルで表面化している。管理者に求められる対応は、パッチを適用して終わりというものではない。エレコムのWebUIは継続的に安全性の問題が見つかっている攻撃対象領域であり、本日のファームウェアアップデートを適用した後も補完的な対策が必要である。
■設定復元機能とWebUIにおける脆弱性の詳細
JVN#56870912の注意喚起では、2つの製品カテゴリーにまたがる3件のCVEが対象となっている。
CVE-2026-61376（設定復元機能経由のOSコマンドインジェクション、CWE-78）：CVSS 4.0スコアは8.6で、エレコムのWABシリーズに属する法人向けアクセスポイント5機種に影響する。有効な管理者認証情報を持つ攻撃者は、Web管理インターフェースの「設定復元」機能を通じて細工したリクエストを送信することで、基盤となるLinuxベースのOS上で任意のコマンドを実行し、アクセスポイントを完全に制御できる。CVSSベクトルは「AV:N/AC:L/AT:N/PR:H/UI:N」であり、ネットワーク経由で攻撃でき、特別な攻撃条件やユーザー操作は必要ない一方、高い権限、すなわち管理者のログイン認証情報が必要であることを示している。
CVE-2026-59764（WebUI経由のOSコマンドインジェクション、CWE-78）：個人向けのWRC-X3000GS3シリーズには、別のWebUIエンドポイントに同様のインジェクション脆弱性が存在する。CVSS 4.0スコアは8.6、CVSS 3.0スコアは7.2である。認証済みの攻撃者は、ルーターの管理インターフェースを通じて細工したリクエストを送信し、任意のOSコマンドを実行できる。
CVE-2026-44387（WebUIにおける反射型クロスサイトスクリプティング、CWE-79）：法人向けアクセスポイント5機種は、管理インターフェースに存在する反射型XSS脆弱性の影響も受ける。CVSS 4.0スコアは5.1、CVSS 3.0スコアは5.2であり、単独での深刻度は比較的低い。しかし、本当の危険性は、この脆弱性がその後の攻撃を可能にする点にある。攻撃者がフィッシングメッセージを送り、WABの管理インターフェースにログインしている管理者に細工したリンクをクリックさせることができれば、XSSによって管理者のセッション情報を盗み、それを利用してCVE-2026-61376を悪用できる。この攻撃チェーンにより、ソーシャルエンジニアリングを起点として、OSレベルで機器を完全に制御できるようになる。
■影響を受ける製品と適用すべきファームウェア
法人向けアクセスポイント（CVE-2026-61376およびCVE-2026-44387）の対象モデルと脆弱なバージョンは以下の通りである。いずれも最新ファームウェアへのアップデートが必要となる。
・WAB-M1775-PS（v2.1.9以前）
・WAB-S1775（v2.1.9以前）
・WAB-M2133（v2.0.5以前）
・WAB-I1750-PS（v2.0.5以前）
・WAB-S1167-PS（v2.0.5以前）
個人向けWi-Fi 6ルーター（CVE-2026-59764）の対象モデルと脆弱なバージョンは以下の通りで、こちらも最新ファームウェアへのアップデートが必要である。
・WRC-X3000GS3-B（v1.06以前）
・WRC-X3000GS3A-B（v1.06以前）
エレコムは注意喚起と併せてセキュリティ告知「20260728-01」を公開し、公式サポートサイトで更新済みファームウェアの提供を開始した。管理者は機器の管理コンソールにログインし、現在のファームウェアバージョンを上記の一覧と照合したうえで、直ちにアップデートを適用すべきである。
WAB-M1775-PSは、エレコムの主力となる法人向けWi-Fi 6（IEEE 802.11ax）アクセスポイントである。合計最大1,775Mbpsの通信速度と最大256台の同時クライアント接続に対応し、PoEパススルーやWPA3-Enterprise認証を備えている。学校、オフィス、会議室、利用者の多い公共施設などを対象としているため、侵害された場合の影響は、そのアクセスポイントが接続するネットワークセグメント全体に及ぶ。
WRC-X3000GS3シリーズは、最大2,402Mbps＋574Mbpsの通信速度と最大26台の同時接続に対応する、住宅・SOHO向けのWi-Fi 6ルーターである。
■3人の独立した研究者が同じ時期に問題を発見
3人の研究者がそれぞれ独立してエレコムのWebUIを調査し、同じ注意喚起サイクルの中で、日本の脆弱性情報の届出・調整プロセスに脆弱性を報告した。
GMOサイバーセキュリティ byイエラエ株式会社の石井健太郎氏は、CVE-2026-44387（XSS脆弱性）をIPAに報告した。報告は、情報セキュリティ早期警戒パートナーシップに基づくベンダー調整のため、JPCERT/CCに引き継がれた。三井物産セキュアディレクション株式会社の田辺裕史氏は、同じIPA経由の仕組みを通じて、CVE-2026-59764（個人向けルーターのOSコマンドインジェクション脆弱性）を別途報告した。独立系研究者の川杉凛太郎氏は、CVE-2026-61376（法人向け機器の設定復元機能に存在するOSコマンドインジェクション脆弱性）をエレコムに直接報告した。エレコムは修正に向けた調整を完了した後、JVNで注意喚起を公開するためJPCERT/CCに通知した。
3人の研究者が独立して同じベンダーのWebUIから3件の脆弱性を特定し、同じ時期に報告した事実は偶然ではない。これは、問題の性質を示す兆候である。複数のセキュリティ研究者が異なる攻撃経路から同じベンダーのWebUIを調べ、複数のOSコマンドインジェクションを含む脆弱性を発見した場合、根本的な問題はレビューをすり抜けた個別の欠陥ではなく、コードベース全体に及ぶ入力値の無害化、すなわちサニタイズの不足という構造的なパターンにある。
■日本の構造化された脆弱性開示プロセス
今回の注意喚起は、日本の協調的な脆弱性開示の枠組みが、脆弱性報告をどのように処理するかを示している。2004年からIPAとJPCERT/CCが共同運営し、ISO/IEC 29147に沿って運用されている情報セキュリティ早期警戒パートナーシップでは、構造化された引き継ぎプロセスが設けられている。研究者がIPAに脆弱性を届け出ると、JPCERT/CCがベンダーと調整して修正を進め、JVNが注意喚起とパッチを同時に公開する。この枠組みでは、ベンダーへの通知から一般公開まで、およそ45日間の調整期間を目安としているが、実際の期間は案件ごとに調整される。
本日の3件のCVEのうち、CVE-2026-44387とCVE-2026-59764は、標準的なIPAの受付ルートをたどった。一方、CVE-2026-61376は、異なるものの同様に正式な経路で処理された。川杉氏がエレコムに直接報告し、エレコムが自社での修正対応を完了した後、JPCERT/CCと調整したものである。これは、この枠組みに用意されているベンダー主導の脆弱性開示の仕組みに当たる。
今回の注意喚起は、日本の脆弱性対策情報データベース「JVN iPedia」に「JVNDB-2026-000103」として登録されている。
■「認証が必要」が「低リスク」を意味しない理由
2件のOSコマンドインジェクション脆弱性は、いずれもCVSS 4.0スコアが8.6であり、「緊急（Critical）」に当たる9.0以上ではなく、「重要（High）」の深刻度に分類される。この違いは、PR:H（攻撃に必要な権限：高）という評価項目によるものだ。つまり、インジェクション脆弱性を悪用するには、有効な管理者認証情報が必要となる。
この区別は重要だが、見た目ほど安心できるものではない。ネットワーク機器に存在するOSコマンドインジェクションは、Webアプリケーションに存在する同種の脆弱性よりも本質的に危険である。Webアプリケーションの場合、OSコマンドインジェクションによって侵害されるのは単一のサーバーである。一方、Wi-Fiアクセスポイントやルーターの場合は、ネットワークインフラそのものが侵害される。攻撃者は機器を流れるすべての通信を傍受したり、悪意のある応答を挿入したり、永続的なバックドアを設置したり、機器をボットネットに組み込んだりできるようになる。学校やオフィスに設置された法人向けアクセスポイントが侵害されれば、接続されたネットワーク全体へ横展開するための足がかりとなる。
PR:Hという評価にも文脈が必要である。法人向けWABシリーズについては、CVSS 8.6のOSコマンドインジェクション脆弱性と同じ注意喚起で、管理者の有効なセッションを盗むために利用できる反射型XSS脆弱性も公表されている。標的型攻撃を行う攻撃者がネットワーク管理者にフィッシングリンクを送り、管理者がWABの管理インターフェースにログインしている間にクリックするのを待ち、セッショントークンを取得すれば、PR:Hの評価で必要とされる管理者権限を事実上得たことになる。この2件の脆弱性は、互いに独立したリスク要因ではなく、1つの攻撃チェーンを構成する連続した段階である。
■パッチ適用は有効だが、根本的な解決にはならない
影響を受ける7機種へのパッチ適用は必須であり、直ちに実施すべきである。しかし、今回のファームウェアアップデートが修正するのは、本日公表されたCVEであり、こうした脆弱性を繰り返し生み出している根本的なアーキテクチャ上の問題ではない。
本日の注意喚起は、2026年1月以降だけでも、エレコムのWebUI搭載製品におけるOSコマンドインジェクションを公表した3回目のJPCERT注意喚起サイクルとなる。その前には、2026年5月のJPCERT注意喚起「JVN#03037325」で、別のエレコム製品群を対象とした7件のCVEが公表された。この中には、CVSS 3.0スコアが9.8と評価された、認証不要のOSコマンドインジェクション脆弱性も含まれていた。さらに、NVDの記録には、2024年1月のCVE-2024-22372、2024年4月のCVE-2024-26258、2024年7月のCVE-2024-39607として、エレコム製品のWebUIにおけるOSコマンドインジェクション脆弱性が登録されている。
同じ脆弱性クラスである「OSコマンドに含まれる特殊要素の不適切な無害化」（CWE-78）は、2021年から2026年までに、エレコム製品のWebUIコードで少なくとも5回の注意喚起サイクルにわたって確認されている。各サイクルでは、その時点で特定されたエンドポイントが修正されるが、その後のサイクルでは、別のエンドポイントや製品から同じ種類の欠陥が見つかっている。これは、個別の見落としが偶然続いたのではなく、共通のWebUIコードに構造的な入力検証の不備が存在することを示す特徴である。
したがって、エレコム製ネットワーク機器を管理する担当者は、本日のファームウェアパッチを最優先で適用したうえで、パッチの適用状況にかかわらず、以下の補完的な対策を実施すべきである。
・管理インターフェースの隔離：WebUIへのアクセスを専用の管理VLANまたは特定の管理者IPアドレスに制限する。一般のネットワークからWebUIに到達できない構成にすれば、これらの脆弱性を悪用するネットワーク経由の攻撃経路（AV:N）を、アーキテクチャレベルで遮断できる。
・管理者認証情報の変更：影響を受ける機器の管理者パスワードをすべて変更する。特に、同じ認証情報をほかの機器でも使い回している場合は、優先的な対応が必要である。CVE-2026-44387によるセッション侵害は、管理者がログイン中の場合にのみ可能であるため、セッションの有効期間を短くし、機器ごとに異なる認証情報を使用することで、被害の範囲を抑えられる。
・異常なトラフィックの監視：OSコマンドインジェクションによって侵害されたアクセスポイントは、ネットワーク内で別の攻撃を行うための踏み台として使用される可能性がある。アクセスポイントの管理用アドレスから発生する原因不明の通信、予期しない外部への接続、メンテナンス時間外に行われた機器設定の変更などが確認された場合は、調査が必要である。
・エレコムの注意喚起ページの定期的な確認：脆弱性公表の頻度を考慮すると、管理者はJPCERT/CCやエレコムの注意喚起を一度限りの問題ではなく、継続的に対応すべき運用上の課題として扱う必要がある。
■WebUIにおけるOSコマンドインジェクション攻撃の仕組み
OSコマンドインジェクション（CWE-78）は、ソフトウェアが、シェルにとって特別な意味を持つ文字を適切に除去またはエスケープせず、ユーザーから受け取った入力を使ってOSコマンドを組み立てる場合に発生する。エレコム製品のようなWebベースの管理インターフェースでは、「設定復元」などの管理操作を実行する機能が、ユーザーから受け取ったパラメーターをシェルコマンドに直接渡している可能性がある。WebUIのコードがセミコロン、パイプ（|）、バッククォート、改行などの文字を除去またはエスケープしていなければ、攻撃者は本来のコマンドの後ろに別のコマンドを追加できる。機器は正規のコマンドと挿入されたコマンドの両方を、WebUIプロセスの実行権限で処理する。組み込みLinuxファームウェアでは、このプロセスが通常root権限で動作している。
CWE-78は、MITREの「最も危険なソフトウェアの弱点トップ25」に継続的に選ばれており、OWASPトップ10でもインジェクションのカテゴリーに含まれている。特殊でも新しくもない脆弱性である。同じコードベースでこのパターンが初めて記録されてから数年が経過した2026年にも、エレコム製品のWebUIで同種の脆弱性が見つかり続けている。この事実は、過去の注意喚起サイクルで適用されたパッチが、WebUIコードベース全体に体系的な入力検証を導入するのではなく、個別に見つかった脆弱なエンドポイントだけを修正していたことを示している。
■注目ポイントQ&A
●自分のエレコム製ルーターやアクセスポイントが影響を受けるかどうかは、どうすれば確認できますか？
機器のラベルに記載されたモデル番号を確認し、今回の注意喚起で挙げられた7機種と照合してください。対象は、WAB-M1775-PSおよびWAB-S1775のv2.1.9以前、WAB-M2133、WAB-I1750-PS、WAB-S1167-PSのv2.0.5以前、WRC-X3000GS3-BおよびWRC-X3000GS3A-Bのv1.06以前です。現在のファームウェアバージョンは、機器のWeb管理コンソールにあるシステム情報またはファームウェアの項目でも確認できます。モデルとバージョンの両方が該当する場合は、ほかの作業に先立って、エレコムの公式サポートページからアップデートを適用してください。
●攻撃者がこれらの脆弱性を悪用した場合、具体的に何ができるようになりますか？
2件のOSコマンドインジェクション脆弱性（CVE-2026-61376およびCVE-2026-59764）により、管理者認証情報を取得した攻撃者は、機器のWeb管理インターフェースを通じて細工したリクエストを送り、基盤となるLinux OSに任意のコマンドを実行させることができます。実際には、機器を完全に制御し、永続的なバックドアの設置、ネットワーク通信の傍受や改ざん、機器設定の変更、同じネットワーク上にあるほかの機器への攻撃などに利用できることを意味します。学校やオフィスで最大256台のクライアントを収容するWAB-M1775-PSなどの法人向けアクセスポイントが侵害されれば、ネットワークセグメント全体へ侵入するための足がかりとなります。
●パッチを適用するだけで十分ですか、それともより大きな問題があるのでしょうか？
パッチの適用は必要であり、直ちに行うべきですが、根本原因を解消するものではありません。同じOSコマンドインジェクションの脆弱性クラス（CWE-78）が、2021年から2026年7月までに、少なくとも5回のJPCERT注意喚起サイクルでエレコム製品のWebUIコードから見つかっています。このパターンは、個別の実装ミスが続いているというより、WebUIコードベースに構造的な入力検証の不備が存在することを示しています。今回のパッチは現在判明している攻撃可能なエンドポイントを修正しますが、研究者がまだ発見していないWebUIの別の部分から、同じ弱点が完全に排除されたことを保証するものではありません。管理者は直ちにパッチを適用したうえで、WebUIへのアクセスを管理VLANに制限し、認証情報を変更し、アクセスポイントの異常な通信を監視し、今後のエレコムの注意喚起を継続的に確認してください。
●JPCERT/CCとは何ですか。また、その注意喚起プロセスはどのように機能しますか？
JPCERT/CC（JPCERTコーディネーションセンター）は、日本の主要なサイバーセキュリティ調整機関です。脆弱性報告への対応、影響を受けるベンダーとの修正調整、IPAと連携したJapan Vulnerability Notes（JVN）ポータルでの注意喚起の公開などを担っています。このプロセスは、2004年に設けられた情報セキュリティ早期警戒パートナーシップの下で、ISO/IEC 29147に沿って運用されています。研究者がIPAに脆弱性を届け出ると、JPCERT/CCがベンダーと修正に向けて調整し、およそ45日間を目安として、注意喚起とファームウェアアップデートを同時に公開します。ただし、期間は案件ごとに調整されます。今回のエレコムに関する3件のCVEのうち、2件は標準的なIPA経由で処理されました。残るCVE-2026-61376はエレコムに直接報告され、同社が修正対応を行った後、JPCERT/CCと調整してJVNで公開されました。
元記事: Elecom Wi-Fi Gear Hit Again: OS Command Injection Flaws Patched After Third Advisory