TP-Link Archerルーターに脆弱性 CVE-2026-5509、最新ファームへ更新を

家庭やオフィスで広く使われるTP-Linkの高速Wi-Fiルーター「Archer BE450」と「Archer BE7200」に、管理画面に入り込んだ相手がルーターそのものを乗っ取れる不具合（CVE-2026-5509）が見つかりました。日本のセキュリティ会社が発見し、JPCERT/CCを通じてJVN（国内の脆弱性情報ポータル）で2026年6月2日に公表されたものです。すでに直すファームウェア（機器を動かす内蔵ソフト）が配られているため、対象機種を使っている人は更新するだけで防げます。

ただし、この不具合は「ルーターの管理画面にログインできる状態」が前提です。インターネット越しに見ず知らずの相手から一方的に突かれる種類のものではありません。とはいえ、家のWi-Fiにつながった人や、初期パスワードのまま使っている機器では条件がそろってしまうため、軽視はできません。本記事では、何が起きるのか、自分のルーターが対象かの見分け方、いま何をすべきかを順番に整理します。

不具合の概要

まず要点を一覧にします。危険度を示すCVSS（脆弱性の深刻さを10点満点で表す国際指標）は、新しい計算方式（v4.0）で8.5（高）、従来方式（v3.1）では6.8でございます。最高ランクではないのは、悪用に「管理画面へのログイン」が必要な分が差し引かれているためです。

「命令の差し込み（OSコマンドインジェクション）」とは、入力欄などに細工した文字列を送り込み、機器の内部で本来は想定されていない命令を実行させる古典的な手口です。TP-Linkの説明によると、今回はブラウザの「開発者ツール」（Webページの裏側を操作できる開発用の画面）から細工した値を送ると、それが十分に点検されないままルーター内部のシステム命令に渡ってしまう、というものでございます。

管理画面の鍵を握った者が、家じゅうの通信を覗ける位置に立つ

「管理画面にログインが必要」と聞くと自分には関係ないと感じるかもしれませんが、その鍵を持つのは家族や同僚だけとは限りません。ここに目を付けるのは、無料Wi-Fiや来客用の回線に紛れ込んだ居候、初期パスワードのまま放置された機器を回線越しに探し回る業者、退職間際にオフィスの設定を握ったまま去る内部の人間、そして別の侵入口とこの穴を組み合わせて足場を固めたい攻撃グループです。彼らがほしいのは一台のルーターそのものではなく、そこを通る通信のすべてです。この穴を踏まれた瞬間、攻撃者はルーターの中で好きな命令を動かせるようになり、機器は持ち主の手を離れて相手の道具に変わります。

ルーターは家やオフィスの出入口にあたります。ここを押さえられると、表示するWebサイトを偽サイトにすり替えられたり、通信を盗み見されたり、外から再び入るための裏口を仕込まれたりします。やっかいなのは、ファームウェアの奥に居座られるとパソコンやスマホをいくら入れ替えても被害が消えず、ルーター自体を初期化・更新するまで覗き見が続く点です。乗っ取られた機器は、見ず知らずの攻撃の踏み台や迷惑通信の発信源にも使われます。

後始末を背負うのは、その回線の持ち主です。家庭なら家族全員のネット利用が監視対象になり、店舗や小さな事務所なら顧客情報やクレジット決済の通信まで危険にさらされます。今回の弱点が単独で世界中から突かれるわけではないとはいえ、管理パスワードを初期値や単純なものにしている限り、その一線はあっけなく越えられます。だからこそ、ファームウェアの更新と管理パスワードの見直しを今やれるかどうかが、被害を未然に止める分かれ目になります。

そもそもArcher BE450・BE7200とはどんな機種か

Archer BE450とArcher BE7200は、TP-Linkが販売する家庭・小規模オフィス向けのWi-Fiルーターです。いずれも最新規格のWi-Fi 7（2024年以降に普及が進む新しい無線方式）に対応した上位モデルで、複数台のスマホやパソコンを高速につなげる用途で人気があります。TP-Linkは世界の家庭用ルーター市場で大きなシェアを持ち、日本でも家電量販店やネット通販で広く流通しています。

今回の不具合は、こうした機器に必ず付いている「ブラウザで開く管理画面」（ルーターの設定を変えるための画面）にひそんでいました。利用者がWi-Fiのパスワードを変えたり、つながっている機器を確認したりする、あの設定画面の裏側でございます。設定画面は便利な反面、内部のシステムと直接つながっているため、入力値の点検が甘いと今回のように命令の差し込みを許してしまいます。

自分のルーターが対象かを確認する手順

対象は「Archer BE450」「Archer BE7200」の2機種で、ファームウェアが1.3.0 Build 20260416より前の場合です。機種名はルーター本体の底面や側面のラベル、または箱に書かれています。ファームウェアの版数は、管理画面（多くは 192.168.0.1 または tplinkwifi.net をブラウザで開く）にログインし、「システムツール」や「ファームウェア更新」の項目で確認できます。下の早見表で対応を整理します。

なお、TP-Linkの製品名は「Archer BE○○○○」のように複数あり、似た名前でも今回の対象はBE450とBE7200のv1（初代）に限られます。自分の機種が分からない場合は、本体ラベルの型番を確認してください。同社は過去にもArcherシリーズの命令差し込み脆弱性を複数公表しており、ルーターの定期的なファームウェア更新は欠かせません。

CVE-2026-5509の中身：開発者ツールから命令が通る

JVNとTP-Linkのアドバイザリによると、管理画面にログインした利用者が、ブラウザの開発者ツールを使って細工した入力を送ると、その値が十分に無害化されないままルーター内部のシステム命令に渡されます。結果として、ルーター上で任意のOSコマンド（機器の心臓部に対する命令）を実行できてしまうというものです。分類は命令の差し込み（CWE-78）でございます。

深刻さを表すCVSSの内訳（v4.0）は AV:A/AC:L/PR:H/UI:N です。これは「同じネットワーク内から（AV:A）」「難易度は低く（AC:L）」「管理者権限が必要で（PR:H）」「利用者の操作を介さず（UI:N）」成立することを意味します。つまり、インターネット越しに不特定多数から一方的に突かれるわけではなく、すでに管理画面に入れる立場の者が、機器を完全に支配下に置くために使う性質の弱点です。情報の読み取り・改ざん・機能停止のいずれにも影響が及ぶ（VC:H/VI:H/VA:H）と評価されています。

影響を受けるのは、ファームウェアが1.3.0 Build 20260416より前のArcher BE450 v1とBE7200 v1です。修正版のファームウェアでは、開発者ツール経由で送られた値の点検が強化され、危険な命令が内部に渡らないよう修正されています。

なぜ「ログインが必要」でも油断できないのか

「管理者でないと使えないなら安全では」と思いがちですが、家庭用ルーターでは管理パスワードが初期値のまま、あるいは推測しやすい単純な文字列になっているケースが少なくありません。攻撃者が管理画面の弱いパスワードを破れば、その先で今回の弱点を使ってルーターを丸ごと掌握できます。来客用Wi-Fiの利用者や、同じオフィスのネットワークにいる人物も、条件しだいで管理画面に手が届きます。

さらに怖いのは、別の弱点と組み合わせる「連鎖攻撃」です。仮に管理画面のログインをすり抜ける別の不具合が見つかれば、今回の命令差し込みと連結して、ログインの壁を越えたうえでルーターを乗っ取る——という流れが現実味を帯びます。TP-Linkのルーターは過去にも認証回避や命令差し込みの脆弱性が報告されており、ルーター共通部品の脆弱性も相次いでいます。「ログインが要る＝放置してよい」ではなく、修正が出たら早めに当てるのが安全側の判断でございます。

公表までの経緯

日本の研究者による報告から、メーカーの修正・国内公表までの流れを時系列で整理します。

← スワイプで移動

いま取るべき対策

最優先は、Archer BE450／BE7200のファームウェアを1.3.0 Build 20260416以降へ更新することです。管理画面にログインし、「ファームウェア更新」の項目から最新版を適用してください。TP-Linkのスマホアプリ（Tether／Deco）からも更新できます。自動更新の設定がある場合は有効にしておくと、今後の修正を取りこぼしにくくなります。

あわせて、ルーターの管理パスワードを初期値から変更し、推測されにくいものにすることが効果的です。今回の弱点は管理画面に入れることが前提のため、ログインの壁を堅くするだけで悪用のハードルは大きく上がります。来客用Wi-Fiを分けている場合は、来客用ネットワークから管理画面に入れない設定になっているかも確認してください。リモート管理（外部から設定画面を開ける機能）を使っていないなら、無効にしておくのが安全です。

家庭用ルーターの脆弱性はこのところ各社で相次いでいます。NEC Atermの脆弱性やルーター共通部品dnsmasqの脆弱性でも触れたとおり、ルーターは「買ったら放置」になりがちですが、定期的なファームウェア更新がいちばんの守りになります。国内で広く使われる製品の脆弱性をまとめて追いたい場合は、2026年上半期の重大な脆弱性まとめもあわせて確認してください。

よくある質問

まとめ

TP-LinkのWi-Fi 7ルーター「Archer BE450」「BE7200」で見つかったCVE-2026-5509は、管理画面にログインした相手がルーター上で任意の命令を実行し、機器を乗っ取れる弱点です。CVSSはv4.0で8.5（高）。インターネット越しに一方的に突かれるものではありませんが、初期パスワードのまま使っていたり、別の弱点と組み合わされたりすると現実の脅威になります。発見した日本のセキュリティ会社・株式会社ゼロゼロワンの報告を受け、TP-Linkは修正版ファームウェア1.3.0 Build 20260416以降を公開済みです。対象機種を使っている人は、ファームウェアの更新と管理パスワードの見直しを早めに済ませてください。ルーターは家とインターネットの出入口です。そこを堅くしておくことが、家族や顧客の通信を守るいちばん確実な一手でございます。

参照元

• ▸JVN - JVNVU#95687008（TP-Link Archer BE450/BE7200のOSコマンドインジェクション）
• ▸TP-Link - セキュリティアドバイザリ（CVE-2026-5509）
• ▸NVD - CVE-2026-5509
• ▸株式会社ゼロゼロワン（00One, Inc.）
• ▸TP-Link Japan 公式サイト