エレコムのルーター7機種に脆弱性3件、乗っ取りの恐れ CVE-2026-59764

2026年7月28日、エレコムの無線LANルーターと業務用アクセスポイント計7機種に、3件の脆弱性が公表されました。うち2件は、設定画面にログインできる相手が機器の上で好きな命令を実行できてしまうというものです。ルーターを乗っ取られると、通信の中身をのぞかれたり、別の攻撃の踏み台にされたりします。

ただし、先に安心できる話を書きます。修正済みのファームウェアは、公表よりずっと前の5月から6月にかけてすでに配布されています。しかも家庭用の2機種は、設定を変えていなければ自動で更新される仕組みです。慌てて何かを止める必要はありません。

では誰が気をつけるべきかというと、自動更新を切っている家庭と、手動更新が前提の業務用アクセスポイント5機種を運用している組織です。ここでは対象機種と上げるべき版を早見表にまとめ、そのうえで「ログインが必要な脆弱性は本当に安全なのか」を、エレコム自身の過去の事例を材料に考えます。

対象7機種と、上げるべきファームウェアの版

手元の機器の型番と、設定画面で確認できるファームウェアの版を、この表と突き合わせてください。「影響を受ける版」に当てはまるなら、右の版へ更新します。修正版の公開日も入れました。すでにその日以降に更新されていれば対処は済んでいます。

表を見て気づくと思いますが、WAB-M2133だけ「v2.0.5以下が対象」なのに修正版がVer.2.0.13と、他の2機種（Ver.2.0.7）と枝分かれしています。同じ「2.0.5以下」でも機種ごとに上げ先が違うので、型番ごとに配布ページを見て確認してください。使用中止を求められている機種は今回ありません。7機種すべてに修正版が出ています。

エレコムの案内は同社のセキュリティ情報（EL42-098）にあり、対処はファームウェアの更新のみです。回避策は示されていません。日本の脆弱性情報を集約するJVN（JVN#56870912）にも同じ内容が掲載されていますが、JVN側には具体的な版の番号は載っていないため、番号を確認するならエレコムのページか各機種の配布ページを見ることになります。

3件は、それぞれ何ができてしまうのか

3件の中身を、危険度の高い順に見ていきます。危険度は、脆弱性の深刻さを10点満点で表す共通のものさしCVSSによるものです。

CVE-2026-59764：家庭用ルーターの設定画面から命令を実行される

家庭用のWRC-X3000GS3-B／GS3A-Bが対象です。CVE-2026-59764は、設定画面が受け取った入力を機器内部の処理に渡す際の扱いが甘く、入力欄に機器への命令文を紛れ込ませると、そのまま実行されてしまうというものです。この種の欠陥は「OSコマンドインジェクション」と呼ばれます。危険度は7.2（新しい評価方式のCVSS 4.0では8.6）。報告者は三井物産セキュアディレクションの田邊博文氏です。

実行されるのはルーター本体の上なので、届く範囲はそのルーターが管理する家庭内ネットワークの全体です。通信の行き先をこっそり書き換えられれば、正規のサイトのつもりで偽サイトへ誘導されます。

CVE-2026-61376：業務用アクセスポイントの設定復元から命令を実行される

業務用のWAB系5機種が対象です。CVE-2026-61376も同じOSコマンドインジェクションですが、入り口が違います。狙われるのは「設定の復元」機能——事前に保存しておいた設定ファイルを読み込ませて元に戻す、あの機能です。読み込ませるファイルの中に命令文を仕込むと、復元の処理と一緒に実行されます。危険度は同じく7.2（CVSS 4.0で8.6）。報告者は川杉倫太郎氏で、この1件だけはIPAを経由せず開発元へ直接報告されています。

業務用アクセスポイントは、複数台をまとめて同じ設定で運用するのが普通です。つまり設定ファイルを配って回る運用そのものが、この脆弱性の攻撃経路と重なります。保守を外部業者に任せている場合、設定ファイルがどこを経由して届いているかは一度確認しておく価値があります。

CVE-2026-44387：設定画面を開いた人のブラウザで不正なスクリプトが動く

同じくWAB系5機種が対象のCVE-2026-44387は、設定画面が受け取った値をそのまま画面に出し戻していたことによるものです。細工したURLを管理者に開かせると、その管理者のブラウザ上で攻撃者のスクリプトが動きます。危険度は5.2と3件で最も低く、しかも成立には同じネットワーク内にいることと管理者にリンクを開かせることの両方が要ります。報告者はGMOサイバーセキュリティ byイエラエの石井健太郎氏です。

「ログインが必要」は、どこまで安心材料になるのか

今回の2件のOSコマンドインジェクションには、いずれも「設定画面にログインできる攻撃者」という条件が付いています。これを見て「うちの管理画面は外に出していないし、パスワードもかけてあるから関係ない」と判断したくなるところですが、いくつか引っかかる点があります。

ひとつめは、パスワードそのものの強さです。エレコムは今年2月にも脆弱性をまとめて公表しており、そこには初期状態の管理者パスワードが推測できてしまうという指摘（CVE-2026-24449）が含まれていました。対象は今回とは別の機種ですが、「ログインが必要」という条件は、ログインが簡単に通ってしまえば無いのと同じです。設置してから一度もパスワードを変えていない機器があるなら、更新と同時に変えておくべきです。

ふたつめは、攻撃者がすでに内側にいる場合です。ルーターやアクセスポイントの設定画面は、社内や家庭内からは普通にアクセスできます。パソコン1台がマルウェアに感染していれば、そこから設定画面へ到達するのは難しくありません。この種の脆弱性は「最初の侵入口」ではなく「侵入後に足場を固めるための道具」として効きます。ネットワーク機器を押さえられると、その後の通信をすべて監視・改変できるようになるためです。

みっつめは、管理画面をインターネット側に開けている場合です。遠隔から設定を変えたいという理由で外部公開している運用は今も残っています。2023年には警視庁が、家庭用ルーターが不正に設定変更され、攻撃の中継地点として使われていた事案について注意を呼びかけました。このときはエレコムを含む7社が連名で対応を促しています。

誰が、何のために狙うのか

前提として、エレコムは国内の無線LAN機器で一定の存在感があります。POSデータを集計するBCN AWARD 2026によれば、2025年の販売台数シェアはバッファロー46.4％、TP-Link 38.4％に次ぐ3位で6.8％。2018年ごろには18％台を占めていた時期もあり、いま家庭で現役のエレコム製ルーターは相当数あると考えられます。

家庭のルーターを狙うのは、その家の誰かに関心がある相手ではありません。世界中の機器を自動で巡回し、既知の欠陥が残っている台数をひたすら積み上げていく、ボットネットの運用者です。彼らが欲しいのは中身ではなく台数で、1台あたりの回線が細くても、数万台束ねれば大規模な攻撃の火力になります。

乗っ取ったあとにやるのは、その機器を他人への攻撃の発射台として貸し出すことと、そこを通る通信から金になる情報を抜くことです。前者に使われると、自宅の回線から見知らぬ企業へ攻撃が飛びます。後者では、接続に使っているプロバイダのIDとパスワードや、家庭内の機器の一覧が対象になります。

被害の出方が厄介なのは、乗っ取られてもほとんど気づけないことです。画面に警告が出るわけでも、ネットが使えなくなるわけでもありません。強いて言えば「なんとなく遅い」「回線が時々切れる」程度で、機器の不調と区別がつきません。業務用のアクセスポイントであれば、そこにぶら下がる社内の通信がまとめて監視対象になります。

同じグループの製品で、実際に起きたこと

「更新しないとどうなるか」を考えるうえで、参考になる事例がエレコムグループにあります。ただし先に強調しておくと、これから書くのは今回の7機種の話ではありません。エレコムが2005年に子会社化したロジテックの、2009年から2013年ごろに売られていた旧型ルーターの話です。今回対象になっている現行機種が攻撃されたという報告は、記事執筆時点でひとつも見つかりません。

2017年11月、国内でMiraiというマルウェアの亜種による感染が広がっているとJPCERT/CCが注意喚起を出しました。観測されたピークは約24,000台。感染していた機器の多くが、ロジテック製のLAN-W300シリーズという特定のブロードバンドルーターでした。使われたのは2014年に公表された別部品の欠陥で、修正済みファームウェアは感染が広がる3〜4年前からすでに配布されていました。

話はここで終わりません。情報通信研究機構（NICT）が2021年に公開した観測結果によれば、当時国内で確認されたMirai感染ホストのおよそ半数が、いまだにこのロジテック製ルーターでした。集めた機器の識別子2,126件のうち2,118件が同社製という数字です。約1,500台が感染と再感染を繰り返している状態で、最初の警告から6年が経っていました。翌2022年の観測では、感染機がDDoS攻撃に使われた結果として回線の再接続が頻発し、1日に14回もIPアドレスが変わる個体まで記録されています。

さらに遡ると2012年、同じロジテックのLAN-W300N/Rシリーズで、外部から管理画面に到達できてしまう欠陥が公表されています。JPCERT/CCはこのとき「本脆弱性を使用した攻撃活動が行われていることを確認しています」と明記しました。2013年にはこの欠陥で盗まれたとみられる接続情報が、あるプロバイダの不正ログイン事案の原因と結論づけられています。2015年には警視庁が改めて注意を促しました。

この一連の経過が示しているのは、ネットワーク機器の脆弱性は、修正版が出ても更新されなければ何年でもそこに残り続けるということです。パソコンやスマートフォンと違い、ルーターは動いている限り触られません。今回のエレコムの7機種について、悪用されたという報告は現時点でありません。米政府CISAが公開する実際に攻撃が確認された脆弱性のリスト（KEV）にも、エレコム製品は過去を含めて1件も載っていません。だからこそ、静かなうちに終わらせるのが安く済みます。

ファームウェアの確認と更新のしかた

家庭用の2機種（WRC-X3000GS3-B／GS3A-B）は、工場出荷時の設定のままなら自動で更新されます。インターネットにつながっていることが条件なので、多くの家庭ではすでにVer.1.07以降になっているはずです。設定を変えた覚えがある場合や、念のため確認したい場合は、手元で見に行けます。

ブラウザで 192.168.2.1 を開き、管理者としてログインします（初期のIDは admin、パスワードは同梱の設定情報シートに書かれています）。あとは「その他設定」から「ファームウェア更新」を選べば、現在の版と更新の有無がわかります。ルーターモードで動いている必要がある点だけ注意してください。手順の詳細はエレコムのファームウェアの確認方法（文書番号8206）とWRC-X3000GS3のユーザーズマニュアルにあります。

業務用のWAB系5機種は事情が違います。自動更新が無効になっていれば手動で当てるしかなく、エレコムも機種ごとの配布ページへの導線を用意しています。複数台を運用しているなら、まず何台あるかを数えるところからです。設置場所が天井や什器の中で、物理的に触りにくい台が混じっていることも珍しくありません。更新の前後で設定が保持されるかは機種のマニュアルで確認し、設定ファイルの控えを取ってから作業してください。

あわせてやっておくと良いことが2つあります。ひとつは管理者パスワードの変更。初期値のまま使っている機器があれば、今回の「ログインが必要」という条件は防御として頼りになりません。もうひとつは、管理画面がインターネット側から見えていないかの確認です。遠隔管理を使っていないなら、切っておくのが安全です。

まとめ

エレコムの無線LANルーターとアクセスポイント7機種に、3件の脆弱性が公表されました。深刻なのは設定画面と設定復元から機器上で命令を実行される2件（いずれもCVSS 7.2）で、残る1件は条件の厳しい5.2です。修正済みファームウェアは公表の6〜8週間前からすでに配布されており、対象機種のすべてに用意があります。使用中止を求められている機種はありません。

家庭用の2機種は初期設定のままなら自動更新されるため、多くはすでに対処済みのはずです。実質的に手を動かす必要があるのは、自動更新を切っている家庭と、手動更新が前提の業務用アクセスポイントを運用している組織です。悪用の報告もCISAのリストへの掲載もありません。ただ、同じグループの旧型機が修正版の公開から6年経っても感染し続けていた事例がある以上、「後で」が一番危ないのは確かです。実際の攻撃やKEVへの掲載が確認された場合は、この記事に追記します。

参照元

• ▸ エレコム - 無線LANルーターなど一部のネットワーク製品のセキュリティ向上のためのファームウェアアップデート・対策実施のお願い（EL42-098）
• ▸ JVN#56870912 - エレコム製無線LANルーターおよび無線アクセスポイントにおける複数の脆弱性
• ▸ NVD - CVE-2026-59764
• ▸ NVD - CVE-2026-61376
• ▸ NVD - CVE-2026-44387
• ▸ エレコム - ファームウェアのアップデート方法（文書番号8203）
• ▸ JPCERT/CC - Mirai 亜種の感染活動に関する注意喚起（2017年）
• ▸ NICTER Blog - 国内のMirai感染ホストとロジテック製ルータ（2021年）
• ▸ NICTER Blog - Mirai感染ロジテック製ルータのIPアドレス変動（2022年）
• ▸ JPCERT/CC - ロジテック製ブロードバンドルータの脆弱性に関する注意喚起（2012年）
• ▸ 警視庁 - 家庭用ルーターの不正利用に関する注意喚起
• ▸ エレコム - セキュリティ情報一覧