ヤマハ製無線LANルーターNWR100に複数の脆弱性、JVNが公表

ヤマハ製NWR100に複数の脆弱性

JVN（Japan Vulnerability Notes）は2026年10月28日、ヤマハ株式会社が提供する無線LANルーターNWR100に複数の脆弱性が存在すると公表しました。対象はNWR100 ファームウェア Rev.26.00.07およびそれ以前です。

ネットワーク機器の脆弱性は、機器そのものの設定画面や通信の安全性に直結します。とくにルーターは社内ネットワークの入り口に置かれることが多く、放置すると影響が広範囲に及ぶ可能性があります。今回の公表は、該当製品を使っているかどうかをまず確認し、早めに対応を判断するきっかけとして捉えるとよいでしょう。

脆弱性の内容と想定される影響

公表された脆弱性は2件です。1件目はOSコマンドインジェクション（CWE-78、CVE-2026-97854）で、CVSS:3.1の基本値は9.8、CVSS:4.0では9.3とされています。当該製品に対して特定のリクエストを送信することで、任意のOSコマンドが実行される可能性があります。

OSコマンドインジェクションは、攻撃者が機器上で意図したコマンドを実行できる状態につながり得るため、影響の大きさを示すスコアが高く出ています。CVSS基本値は脆弱性の深刻度を比較するための指標で、9.8や9.3といった値は相対的に高い水準にあたります。

2件目は保存された機微な情報に対するアクセス権設定の不備（CWE-922、CVE-2026-109822）で、CVSS:3.1の基本値は6.5、CVSS:4.0では7.1です。CONFIGファイルのエクスポート機能で生成されたCONFIGファイルが未認証で読み取られる可能性があります。

こちらは機器の設定情報が外部から読み取られ得るという内容で、設定内容によっては認証情報などが含まれる可能性も考えられます。いずれも影響の現れ方が異なるため、個別に内容を確認したうえで対応を検討することが大切です。

修正版と回避策

本脆弱性はファームウェア Rev.26.00.08で修正されています。開発者は、ファームウェアの更新が困難なユーザに対して、Web GUIへのアクセス管理や送信元IPアドレスのフィルター設定により、Web GUIへアクセス可能な端末やアクセス元を制限する回避策の適用を推奨しています。

更新がすぐにできない場合でも、管理画面へアクセスできる範囲を絞っておくことで、外部からの到達経路を減らせます。ただし回避策はあくまで暫定的な措置であり、可能であれば修正版へのアップデートを優先することが望ましいといえます。

この脆弱性情報は株式会社ゼロゼロワンの早川宙也氏がJPCERT/CCに報告し、JPCERT/CCが開発者との調整を行いました。

今回の公表で判明していること

今回の公表では、対象ファームウェアのバージョン、2件の脆弱性のCVE番号とCVSS基本値、想定される影響、修正版バージョン、更新が困難な場合の回避策が示されています。影響を受ける可能性があるのは対象バージョンのNWR100であり、修正版へのアップデートまたは回避策の適用が開発者から案内されています。

自組織で該当製品を利用している場合は、まずファームウェアのバージョンを確認し、対象に該当するかを見極めることが第一歩です。該当する場合は修正版への更新を検討し、難しい場合には回避策を適用したうえで、対応状況を記録しておくと後の管理に役立ちます。