dnsmasq脆弱性6件、Wi-Fiルータは2.93以降なら安全

世界中のWi-Fiルータ・IoT機器・Linuxサーバの土台になっている軽量DNSサーバ「dnsmasq」は、バージョン2.93より前に6件の脆弱性（情報セキュリティ上の欠陥）を抱えています。最悪のものは管理者権限での機器乗っ取りで、ほかにニセのサイトへの誘導、サービス停止、メモリ情報の漏洩も含まれます。2.93以降を使っていれば6件すべて対処済みで、追加の対応は不要——これから入れる人も、いま動かしている人も、確認するのはこの1点です。

6件は2026年5月に米CERT/CCとJVN（日本のCERT）が公開したもので、当初の修正版として2.92rel2が出され、その後すべての修正を取り込んだ安定版2.93が公開されて現在の最新版になっています。ただし、dnsmasqを自分で直接更新できる人は多くありません。多くの家庭用ルータやIoT機器ではメーカーのファームウェア更新を待つ必要があり、2026年7月23日時点でも「対象だが更新はこれから」という機器は世界に大量に残っています。

インターネットに直接公開されているdnsmasqはShodan調べで約110万台、ルータの内側で動いている分まで含めればさらに数千万台規模と推定されます。幸い、公開から約2ヶ月が経った2026年7月23日時点で、米CISAが「実際に攻撃されている脆弱性」をまとめたKEVカタログにこの6件は登録されておらず、広く悪用されたという報告も確認されていません。とはいえ攻撃の仕組みは公開済みで、家庭の無線LANルータでも他人ごとではありません。

家庭ルータが「自分以外への攻撃拠点」に変わる時、まず奪われるもの

110万台以上という数字を聞いてもピンと来ないので、まず「自分の家のWi-Fiルータが今これに該当していたら、何が誰の手に渡るのか」を、抽象論ではなく顔ぶれと欲しがる物のレベルで描いておきます。

家庭ルータやIoT機器のdnsmasqに手を伸ばすのは、論文を書きたい研究者ではなく、実利のある側です。他人を攻撃する発射台として家庭ルータを束で抱えたいボットネット運営、ネットバンクや証券サイトの偽ログイン画面に家族を誘導したいフィッシング詐欺団、家族の通信履歴を握って支配したいDV加害者やストーカー、隣家のWi-FiパスワードからゲストWi-Fiに侵入し動画視聴履歴や在宅時間を盗み見る同じマンションの住人がここに並びます。彼らの欲しい物は、ルータが日々さばいているDNS問い合わせの全ログ（家族が踏んだ全URL）、ネットバンキング・証券・配送会社の通信を偽サイトへ差し替える権限、寝室のスマートスピーカーや子供部屋のスマートおもちゃが喋った内容を覗ける盗聴ポジション、そして他人へのDDoSをかける時に「自分の名前ではない」発射元として使える匿名のIPアドレスです。CVE-2026-4892ひとつでルータの管理者権限まで一直線に届く設計になっています。同じWi-Fiに繋いだコーヒーショップの隣席客、IPv6 DHCPv6パケットを送り込めるマンションの同フロアの住人で、攻撃距離は十分です。

サイバーセキュリティの言葉で言えば、これは「中間者攻撃 (MITM)」と「家庭機器のボットネット化」の温床となるタイプの欠陥です。dnsmasqはルータの中で「家族のDNS問い合わせを最初に受ける窓口」と「DHCPでIPアドレスを配る窓口」を兼ねており、ここが落ちるとブラウザのURL欄に正しいドメインが表示されたまま中身だけ偽サイトに差し替わる「DNSキャッシュ汚染」が成立します。さらにルータの管理者権限まで取られると、ファームウェアに直接バックドアを書き込まれ、工場出荷時リセットでも消えない「永続化された他人の家」になります。Miraiの系譜の家庭ルータ系ボットネットがこの10年で勢力を伸ばし続けてきたのは、まさにこのレイヤーのRCEを足場にしてきたからです。家庭・SOHO・賃貸の共用ルータが、所有者の知らないうちに他人を攻撃する加害者側として動き出します。

CVE-2026-4892はあくまで6件の中の最悪値を示すラベルに過ぎず、家庭ルータの所有者が現実に被るのはルータ機器が壊れることではなく、ネット銀行の送金画面が知らないうちに偽サイトに差し替わり、寝室のスマート機器の会話が他人のサーバに転送され、自分のIPアドレスが他人へのサイバー攻撃の発射元として登録されている状態そのものです。

見つかった6つの脆弱性

対象は以下の6件です。Help Net Securityの報道とCERT/CC VU#471747を元に整理します。いずれも2.93以降では修正済みです。

影響を受けるのは2.93より前のほぼすべてのバージョンです。5月の公開時にはまず修正版2.92rel2で大半が塞がれ、長いドメイン名でメモリを壊すCVE-2026-2291の修正は公式のCHANGELOGで安定版2.93の項に記載されています。まとめて確実に対処するなら2.93以降にしておくのが安全です。dnsmasqメンテナのSimon Kelley氏は公式メーリングリストへの投稿で「ほぼすべての古くないバージョンに影響する、長く存在し続けてきたバグ」と説明しました。

dnsmasqとは何か。なぜここまで広く使われているのか

dnsmasqは、DNS（インターネット上の名前を住所に変換する仕組み）とDHCP（家庭内のスマホやPCに自動でIPアドレスを割り振る仕組み）を1つにまとめた、軽量なサーバソフトウェアです。開発は2001年から続いていて、すでに20年以上の歴史があります。

軽くて省メモリで設定も簡単、というのが特徴で、リソースが限られる機器のデフォルト構成として広く採用されてきました。代表的な使われ方を並べると、こうなります。

• ―家庭・小規模オフィスのWi-Fiルータ: NEC Aterm、バッファロー、ASUS、TP-Linkなど多数のメーカーが内部で採用
• ―OpenWrt: 自作系のWi-Fiルータで定番のLinuxベースOS
• ―Pi-hole: 家庭内の広告ブロック用DNS。Raspberry Piで動かす個人ユーザーが多い
• ―Linuxディストリビューション: Red Hat、SUSE、Ubuntu、Arch Linux、NixOS、Wind Riverなどが影響を受けるとCERT/CCが明記
• ―Android端末: 一部のテザリング機能などで利用
• ―IoT・組込み機器: 家電、ファイアウォール、VoIP電話、車載Wi-Fi、産業用機器

Bitdefenderの調査では、インターネットに直接公開されているdnsmasqだけで約110万台あると報告されています。さらに家庭内ネットワークの内側で動いているものを含めると、影響を受けうる機器は世界で数千万〜億単位になるとみられます。

過去にもdnsmasqは複数回大きな脆弱性が出ています。2021年の「DNSpooq」では7件の脆弱性が見つかり、当時も「数百万台のルータが危ない」と騒がれました。この6件もそれに連なる流れにあります。

一番危険なのは「家庭内Wi-Fi経由で機器を乗っ取られる」CVE-2026-4892

6件の中で最も深刻なのが、CVE-2026-4892です。DHCPv6（IPv6のIPアドレス自動割り当て）の処理にメモリ書き込みのバグがあり、細工したパケットを送ることで管理者権限のまま任意のプログラムを実行できる、というものです。

攻撃にはローカルネットワークへのアクセスが必要なので、インターネット越しに無差別に狙われるタイプではありません。ただし家庭のWi-Fiに何らかの形で侵入されているケース（パスワードが漏れている、ゲスト用Wi-Fiが甘い、家族や来客の端末がマルウェアに感染している、など）では、攻撃者がそこを足場にルータそのものを乗っ取れる可能性があります。

他の5件もそれぞれ重く、特にDNS関連の3件はDNSキャッシュポイズニングと呼ばれる古典的な攻撃手法と相性が良いものです。Palo Alto Networks Unit42の解説では、過去のDNSpooq事件の研究で、シミュレーション環境では平均10秒未満、5分以内に内部ネットワークからdnsmasqを汚染できた事例が紹介されています。この6件が同じ難度で悪用できるかは未知数ですが、技術的な近さはあります。

DNSキャッシュポイズニングが成功すると、「銀行のサイト」だと思ってアクセスした先が、攻撃者の用意したそっくりな偽サイトになる、ということが起こり得ます。利用者は普段通りURLを打って、普段通りパスワードを入力する。脆弱性自体は地味でも、最終的な結果は派手になりうるタイプです。

修正版とアップデート方法

公式の最新修正版はdnsmasq 2.93で、6件すべての修正が含まれています。5月の公開時にはまず2.92rel2が出され、Simon Kelley氏が予告していた安定版2.93も、その後正式に公開されました。これから導入・更新するなら2.93以降を選べば、一連の穴はすべて塞がっています。

問題は、dnsmasqを自分で直接アップデートできる利用者はそれほど多くないことです。多くの場合、dnsmasqはルータや家電のファームウェアに組み込まれているため、メーカー側がファームウェアアップデートを出してくれるのを待つ必要があります。

公開当初、CERT/CCの一覧で「影響あり」と確定していたのはArch Linux、NixOS、Pi-hole、Red Hat、SUSE Linux、Ubuntu、Wind Riverで、「影響なし」と回答したのはArista Networksのみ。SynologyやDebian、Cisco、Google、ASUS、Oracle、VMwareなど20社以上は当時「調査中・回答待ち」でした。その後、Debianは2026年7月にセキュリティ更新を配布するなど、各社の対応は順次進んでいます。家電メーカーを含め、ファームウェアの更新提供時期はメーカーごとにばらつきがあるため、自分の使っている機器の更新情報を確認するのが確実です。

本当に注目すべきは、メンテナが添えた一言かもしれない

技術的な内容と同じくらい注目されているのが、dnsmasqの事実上ひとりのメンテナであるSimon Kelley氏が、この発表に添えた一文です。公式メーリングリストでこう書いています。

これは、世界のインフラを支える主要なOSSが、個人メンテナの時間に依存して支えられているという長年の構造問題を、AIの普及がさらに加速させているという話に読めます。AIを使えば誰でも大量のバグレポートを生成できる。そのうち本物の脆弱性も混ざる。受け取る側のメンテナは、AIの出力をひとつずつ精査して、本物と重複と誤検知を仕分けないといけない。

同じ構造はxz Utils事件以降、何度も言われてきました。以前の検証記事でも書いたように、LLMでコードを書く・レビューする時代の作法は、まだ業界全体で固まっていません。良いことも悪いことも含めて、AIの圧力は確実に主要OSSに届いています。

発表時に「2.93を1週間ほどで出す」と宣言していた通り、安定版2.93はその後正式に公開されました。それだけ次の波が来ると見ているということでもあります。一回限りの脆弱性対応ではなく、今後も同じパターンが繰り返される前提でリリースサイクル自体を組み直し始めている、と読み取れます。

まとめ

家庭ユーザの立場で言えば、すぐに自分の手でできるのは「Wi-Fiのパスワードを強くする」「ルータの管理画面でファームウェア更新が出ていないか確認する」くらいです。NEC Atermの脆弱性のときと同じく、メーカー側のファームウェアアップデートが届くまでには数週間〜数ヶ月のタイムラグがあります。出たときに後回しにしない、を覚えておくだけでも違うと思います。

技術側の論点としては、Simon Kelley氏の「AI生成バグレポートの津波」の一言が、これからのOSSセキュリティ運用を象徴する言葉になっていきそうです。dnsmasq以外のメンテナからも、同じトーンの発信が今後増えると見ています。

参照元

• ―JVN VU#90845089 - dnsmasqにおける複数の脆弱性
• ―CERT/CC VU#471747 - dnsmasq contains several vulnerabilities
• ―dnsmasq-discuss - Security IMPORTANT（Simon Kelleyの公式アナウンス）
• ―dnsmasq公式 CHANGELOG（2.92rel2・2.93のリリースノート）
• ―Help Net Security - Six new dnsmasq vulnerabilities open the door to DNS cache poisoning, local root
• ―Palo Alto Networks Unit42 - Overview of dnsmasq Vulnerabilities: The Dangers of DNS Cache Poisoning
• ―Red Hat - RHSA-2026:19373（dnsmasq セキュリティアップデート）
• ―oss-security - dnsmasq vulnerabilities disclosure
• ―Bitdefender - Dnsmasq vulnerability puts home routers and IoT devices at risk
• ―BleepingComputer - DNSpooq bugs let attackers hijack DNS on millions of devices（2021年の前例）