NEC Atermルーターの脆弱性、対象11機種の安全なバージョン一覧

NEC Atermの11機種に残る2件の脆弱性と、安全なファームウェア

NEC「Aterm」シリーズの一部の機種には、管理画面（Atermでは「クイック設定Web」と呼ばれる設定用のWebページ）を突かれる2件の脆弱性があります。1件目はクロスサイトスクリプティング（XSS）のJVN#69049186（NV26-002 / CVE-2026-6059）で、Wi-Fi 6・6E・7世代を中心とした家庭用9機種が対象。2件目はOSコマンドインジェクションのJVN#80890147（NV26-003 / CVE-2026-8652）で、業務用LTEルーター2機種が対象です。NECプラットフォームズが2026年5月25日に公表し、どちらも機種ごとの修正版ファームウェアで解消されています。たとえば家庭用のWX5400HPならVer.2.1.0以降、WX11000T12ならVer.1.4.0以降が対処済みの版で、後述の一覧で自分の機種の修正版バージョンを確認し、それ以降なら追加の対応は不要、古いままなら更新すれば済みます。

XSSは、攻撃者が細工したリンクや入力をブラウザに実行させ、被害者の画面の中で勝手にJavaScriptを動かす古典的な攻撃です。家庭用Wi-Fiルーターのケースでは、管理者が管理画面（Atermでは「クイック設定Web」と呼ばれます）にログインしている最中に踏むと、Wi-Fiパスワードや無線設定が裏で書き換えられる、あるいは管理者セッションを奪われる可能性があります。OSコマンドインジェクションのほうはさらに直接的で、管理画面の入力欄や設定APIに細工した文字列を送り込むことで、ルーターのOSに任意のコマンドを実行させる――いわば管理者になりすました状態から、機器そのものを乗っ取りに行く攻撃です。

深刻度を10点満点で表すスコアは、JVNによればXSSのNV26-002がCVSS v4.0基本値で4.8（v3.0換算で3.8）、OSコマンド実行のNV26-003がCVSS v4.0基本値で8.5（v3.0換算で6.8）です。数値はNV26-003のほうが明確に高く、管理者権限で機器のOSそのものを操作されるという性質がそのまま表れています。この2件を、2026年3月に同じAtermシリーズで明らかになった「NV26-001」の余波として読むと、さらに見え方が変わります。NV26-001は21機種に影響し、認証バイパス・パストラバーサル・OSコマンドインジェクション2件に加えて、第三者がtelnetを有効化できる「CVE-2026-4621」――いわゆる隠し機能（バックドア）――まで含む、Atermの歴史上でも最大級の修正告知でした。今回のNV26-002 / NV26-003は、そのNV26-001で修正対象とならなかった新世代モデル、あるいは別系統の業務用機器に対する追加対応という色合いが濃く出ています。

以下、2件の脆弱性の中身、影響を受ける11機種の一覧、3月のNV26-001から現在までの動き、そして家庭・小規模オフィスの利用者が何をすればよいかを順に書いていきます。読者として想定しているのは「自宅のAtermが対象かどうか分からない」一般ユーザーと、「会社の支店や倉庫で業務用Atermを置いている」情シス担当者の双方です。

9機種に影響したXSS（NV26-002）の中身

NV26-002はWi-Fi 6・6E・7世代のAtermが中心です。JVN#69049186に掲載された対象機種は、Wi-Fi 6の主力WX1800HP / WX3000HP2 / WX4200D5、Wi-Fi 6EのWX5400HP、フラッグシップのWi-Fi 7モデルWX7800T8 / WX11000T12、それに法人向けOEMのGX621A1 / SH621A1、店舗・拠点向けの19000T12BEの計9機種。家電量販店で「Aterm WXシリーズ」として並んでいる機種の主要なところがほぼ並んでいる構成です。

脆弱性そのものはWeb管理画面（クイック設定Web）に潜んでいて、JVNの説明では「当該製品のWeb管理画面にアクセスしたユーザのウェブブラウザ上で、任意のスクリプトを実行される可能性」とされています。管理画面に出力される文字列のどこかでエスケープが抜けており、攻撃者が細工した値を保存させておくか、細工したURLを管理者に踏ませることで、ブラウザに任意のJavaScriptを流し込めるという構造です。Webアプリケーションの脆弱性としては定番中の定番で、OWASPの分類でも長年トップ10に入り続けている古典的な問題です。

「ルーターのXSSなんて、外から踏ませようがないのでは」と感じるかもしれません。しかし、家庭用ルーターを狙う攻撃シナリオはここ数年でかなり整理されてきており、たとえばマルウェアに感染したPCやスマートフォンから同じLAN上のルーター管理画面に細工された設定値を投入する、いったん管理者セッションを乗っ取ってDNS設定を書き換えて偽サイトに誘導する、といった「LAN内からの足場固め」に十分使われます。攻撃者の視点では、ルーターを取れればその家庭・拠点すべての通信が見えるので、コスパの高い標的という位置づけです。

業務用LTEルーター2機種を狙うOSコマンド実行（NV26-003）

NV26-003はNV26-002より影響範囲は狭く、業務用LTEルーターのMR51FN（Ver.3.4.0より前）とCM51FD（Ver.1.2.0より前）の2機種が対象です。家庭ではあまり見かけませんが、店舗のレジ通信、無人施設の遠隔監視、建設現場の臨時オフィスなど「光回線が引けない場所のインターネット回線」として大量に導入されている系統で、企業の支店・拠点の運用に深く入っているモデルです。

JVN#80890147によれば、攻撃が成立するには「管理者としてWebコンソールにログイン」している必要があります。一見、攻撃のハードルが高そうに見えますが、業務用ルーターは初期設定のまま運用されているケースがしばしばあり、出荷時のパスワードを変えずに使っている拠点や、設定担当者が辞めて誰も触っていない拠点ほど、内部の攻撃者（席にいる従業員、清掃や工事で立ち寄った外部業者、無線LANにつないだ来客のPCなど）から狙われやすくなります。管理画面に入られてしまえば、OSコマンドインジェクションを足がかりに本格的な乗っ取りに進めます。

影響を受ける版数はMR51FNが「Ver.3.4.0より前」、CM51FDが「Ver.1.2.0より前」。修正版はそれぞれVer.3.4.0以降、Ver.1.2.0以降で配布されています。業務用機種のため、量販店店頭の自動アップデートのような仕組みは弱く、原則として情シス担当者が拠点ごとにファームウェアを当てていく運用になります。導入時期の古い拠点ほど忘れられがちなので、配布リストの再点検が必要です。

影響を受ける11機種と修正版バージョン

NV26-002 / NV26-003の対象機種と、それぞれの修正版ファームウェアを以下にまとめます。ご自宅・拠点のAtermが入っていないかをこの表でまず確認してください。型番は機器の底面または背面のラベルに書かれています。

家庭向けではWX5400HP・WX7800T8・WX11000T12が特に流通量が多く、量販店でも「Wi-Fi 6E / 7に買い替えるなら」という売り場の主力です。最近2〜3年の間に新しいAtermを買い替えたという家庭はこの3機種のどれかである可能性が高く、まずは自宅のルーターをひっくり返して型番ラベルを確認するところから始めるのが近道です。

NV26-001から続くAtermの脆弱性対応の流れ

NV26-002 / NV26-003は単発の発表というより、3月のNV26-001から始まった一連の動きの「第2弾」として理解したほうが状況がつかみやすくなります。Atermを取り巻く一連の流れを時系列で並べると以下のようになります。

← スワイプで移動

3月のNV26-001は対象機種が21機種、しかも修正対応されないEOL機種が9つも含まれた「Atermの世代交代の合図」のような告知でした。そこから2カ月、今度は新しい世代に当たるWi-Fi 6 / 6E / 7のラインで別系統の脆弱性が見つかっています。一連の動きは、外部のセキュリティ研究者が腰を据えてAtermに調査を入れ続けていることを示しています。NV26-002の報告者は前述の通りサイバーディフェンス研究所の岩崎氏、NV26-003は三井物産セキュアディレクションの加藤氏で、いずれも国内有力ベンダーのリサーチャーです。

JVN（Japan Vulnerability Notes）からも今回の2件は同じタイミングで告知されました。@jvnjpのアカウントから1分差で投稿されており、続報を待っていた読者の目に同時に飛び込んだ形です。

「管理画面に入れないと攻撃できない」は安心材料にならない

NV26-002のXSS、NV26-003のOSコマンド実行とも、攻撃を成立させるには「管理画面にアクセスできる」「管理者としてログインできる」という前提があります。ここだけ読むと、外からインターネット越しに無条件で乗っ取られるタイプの脆弱性とは違うように見えます。実際、IPAやJVNの公開情報を見て「うちはLANの内側だけで使っているから大丈夫」と判断してしまう利用者は少なくないでしょう。

ただし、家庭用Wi-Fiルーターの「管理画面に入れる人」は、想像よりずっと広い範囲に存在します。まず、デフォルトの管理者パスワードを変更していない機器は、同じLAN上にいる端末（家族の友人のスマホ、宅配のスタッフが繋いだPC、IoT家電が乗っ取られた状態）から簡単に開かれます。次に、賃貸住宅の据え置き型ルーターやマンションの共有Wi-Fi、店舗の従業員用Wi-Fiなどは「LAN内」と言いつつ事実上不特定多数が出入りしており、管理画面に入る経路はあちこちに開いています。さらに、家庭でも仕事用PCにマルウェアが入ると、そこを踏み台にして家庭内ルーターの管理画面が叩かれます。

ルーターを取られると何が起きるかは、過去の事例がよく示しています。DNSサーバーの設定をすり替えて偽の銀行サイトに誘導する、ファームウェアを書き換えて常駐型のマルウェアを仕込む、ボットネットに組み込んで他者への攻撃に加担させる、といった被害が報告されています。とくにDNS書き換え型のフィッシングは、本人が正規のURLを打っていても偽サイトに飛ばされるため気付きにくく、家庭用ルーターを取られる典型的なリスクとしてIPAも継続して注意喚起を出しています。

つまり「認証必須だから一段落」ではなく、「認証されていないと攻撃できない」という防御線そのものが、家庭・小規模オフィスではあまり当てにならないというのが現実です。今回のNV26-002 / NV26-003を「対岸の火事」と扱えないのはこの構造があるからで、対象機種のオーナーは早めに修正版ファームウェアを当てておくのが結局いちばんコストが低い対応になります。

自宅・拠点のAtermで何をすればいいか

対応はシンプルで、対象機種であれば修正版ファームウェアに更新するだけです。Atermはおおむね「クイック設定Web」と呼ばれる管理画面からファームウェア更新ができます。最近のモデル（WX5400HP・WX7800T8・WX11000T12など）はAterm検索ツールやAtermスマートリモコンアプリからも実行できます。

家庭用の利用者向けに、典型的な手順を書いておきます。まず、Atermにつないだ端末のブラウザで http://aterm.me/ または http://192.168.10.1/ を開きます（接続方式によってアドレスは変わります）。管理者ユーザー名「admin」と機器底面に書かれているWebパスワードでログインしたら、左メニューから「メンテナンス」→「ファームウェア更新」と進みます。「最新バージョンの確認」を押し、上述の表で示した修正版以上が当たっていればOK、当たっていなければ「更新」ボタンで適用します。更新中はルーターが再起動するため、家族にWi-Fiが数分切れる旨を伝えてから実行するとトラブルが減ります。

業務用のMR51FN・CM51FDについては、出荷時に専用のWeb管理画面が用意されており、情シス担当者はNECグループ製品セキュリティ情報のページから機器ごとのファームウェア配布ページに飛んでイメージを取得し、各拠点の機器に当てていく流れになります。複数拠点に展開している場合は、拠点ごとのバージョンを台帳で管理しておかないとパッチ漏れが必ず起きるので、これを機に資産情報を棚卸ししておくのがおすすめです。

なお、Aterm自体は購入してからすでに数年経っているケースも多いはずです。型番ラベルを見て、それがNV26-001で対象になった21機種（WG1200HP2・WG1900HP・WG1800HP3・WG2600HP3など）に該当する場合は、今回の2件とは別の話として、改めてJVN#89339669の対象リストと修正ファームの有無を確認することをおすすめします。修正対応がない（EOL）機種に該当する場合は、買い替えを検討する時期だと考えてください。

ネット上の反応

NV26-002 / NV26-003がJVNから公表されると、SNS上では「対象機種が多い」「またAtermか」という声が並びました。IT系メディアのケータイ Watchは告知直後に「対象機種が割と多いので注意」とコメント、対象11機種のうち9機種が家庭用ということもあり、一般読者の関心も高い様子です。

家庭利用者からは「自分のAtermが対象だった」「3月にも騒ぎがあったばかりなのに」という反応も。3月のNV26-001で対象機種が21機種に及んだ印象がまだ強く、Atermを買い替えたばかりの利用者にとっては心理的にこたえる発表になっています。一方で「ちゃんとJVN経由で公表してファームを配布している」点を評価する声もあり、対応そのものは標準的な開示プロセスに沿った形と言えます。

相次いだAtermの脆弱性をどう受け止めるか

国内の家庭用Wi-Fiルーター市場でAtermは長年の定番ブランドで、新築マンションのプロバイダ標準セットや、量販店の「とりあえずこれ買っとけ」の棚に並んでいる安心感があります。だからこそ、3月のNV26-001、5月のNV26-002 / NV26-003と立て続けに脆弱性が出てくる状況は、利用者にとっては気持ちのよいものではありません。

一方で、外部リサーチャーが本気でAtermに調査を入れた結果として脆弱性が次々に表に出てきているとも言えます。これまでは「報告されないだけで残っていた」可能性が高く、その意味では世代交代と棚卸しの時期にAtermが入ったと見るのが現実的でしょう。利用者としてできることは、対象機種かどうかを確認してファームを当てる、EOLになっている機種は思い切って買い替える、管理画面のパスワードはデフォルトから必ず変更しておく、という基本動作の積み重ねです。

2026年7月23日時点で、NV26-003（5月25日公表）がAterm関連では最新のアドバイザリで、その後に新しい脆弱性の告知は確認されていません。今回の2件も3月のNV26-001も、米CISAが実際の攻撃で使われた脆弱性をまとめるKEVカタログには登録されておらず、公開された悪用報告も見当たりません。とはいえ攻撃の手口は公開情報として説明されており、対象機種を古いまま使い続ける理由はありません。NECのセキュリティ情報ページ（jpn.nec.com/security-info/）とJVNのフィードを並行で見ておけば、次の告知が出ても素早く拾えます。

参考文献

• ・JVN#69049186: NEC AtermシリーズにおけるクロスサイトスクリプティングのHTML脆弱性（NV26-002）
• ・JVN#80890147: NEC AtermシリーズにおけるOSコマンドインジェクションの脆弱性（NV26-003）
• ・JVN#89339669: NEC Atermシリーズにおける複数の脆弱性（NV26-001）
• ・NVD - CVE-2026-6059
• ・NVD - CVE-2026-8652
• ・NVD - CVE-2026-4621（NV26-001のtelnetバックドア）
• ・NECグループ製品セキュリティ情報
• ・IPA: 家庭で安全にインターネットを利用するために