SoftBank Airの「Airターミナル6」に、機器の管理画面を通じて高い権限で命令を実行されるおそれがある脆弱性が見つかりました。IPAとJPCERT/CCが運営するJVNは、2026年11月12日に「JVN#64740097」として公表しています。
結論から言うと、SoftBankによる修正は2026年9月に完了しており、ファームウェアは自動更新されます。通常、利用者が修正ファイルを探して手動インストールする必要はありません。一方、長期間インターネットに接続していない機器は、接続時に更新が適用されるため、状況を確認しておくと安心です。
この記事では、対象バージョン、実際に何ができてしまうのか、自宅のルーターで確認すべきことを、JVNとSoftBankの一次情報に基づいて整理します。確認時点：2026年11月12日（日本時間）。
Airターミナル6の脆弱性とは？対象バージョンと修正状況
| 項目 | 公式発表の内容 |
|---|---|
| 製品 | SoftBank Airターミナル6 |
| 脆弱性番号 | CVE-2026-101107／JVN#64740097 |
| 不備の種類 | OSコマンドインジェクション（CWE-78） |
| 影響を受けるバージョン | v1.01.80およびそれ以前 |
| 深刻度 | CVSS v4.0：8.6／v3.0：8.0 |
| 攻撃に必要な条件 | 当該機器のWeb管理画面にログイン可能であること |
| 想定される影響 | root権限で任意のOSコマンドを実行される可能性 |
| 修正状況 | 2026年9月に修正済みファームウェアをリリース、順次自動適用 |
| 利用者による作業 | 開発者によれば不要 |
対象は「Airターミナル6」です。Airターミナル5などほかの機種まで、今回のJVN情報の対象と決めつけることはできません。まず本体の製品名を確認してください。
注意したいのは、「2026年11月12日に脆弱性が公表された」という日付と「修正版がリリースされた」という日付は異なることです。SoftBankは9月に修正済みファームウェアを提供していたと説明しています。JVN側では修正版の具体的なバージョン番号までは示されていません。
Airターミナル6は自分でアップデートする必要がある？
原則、必要ありません。JVNは開発者からの情報として、修正済みファームウェアがすでに展開済みであり、インターネット未接続の機器も接続時に自動で適用されるため、ユーザーの対応は不要と案内しています。
- 普段どおりインターネットにつながっている場合：修正は自動配信されるため、慌てて初期化したり非公式サイトから更新ファイルを入手したりする必要はありません。
- 長期間、電源を切っていた場合：Airターミナル6を通常どおりインターネットに接続してください。JVNによれば、その際に修正版が自動適用されます。
- 機器が接続できない、更新状況が気になる場合：SoftBank公式サポートに問い合わせてください。JVNだけでは修正版の正確なバージョン番号や、すべての個体における適用完了時刻までは分かりません。
SoftBankも、安定したサービス提供や本体ソフトウェア更新のため、Airターミナルの電源を通常は入れたままにすることを推奨しています。更新を理由に何度も電源を抜き差ししたり、出荷時設定へ戻したりすることは勧められていません。
自分のAirターミナル6が対象か確認する方法
1．本体の機種名を確かめる
今回の告知で挙がっているのはAirターミナル6です。本体の表示や契約時の機器情報で製品名を確認します。「SoftBank Airを契約している」だけでは、使っている機種が6とは限りません。
2．管理画面を開く必要がある場合は公式のURLから
SoftBankの公式案内によると、Airターミナル6のセットアップメニューは、同機器につないだパソコンやスマートフォンのブラウザーから http://rtconf.jp/ にアクセスします。初期ログインIDは「user」、初期パスワードは本体底面ラベルに記された端末固有の英数字10桁です。
旧型のAirターミナルで使われる共通の初期パスワード「user」とは違います。Airターミナル6に古い機種の説明を流用しないでください。管理画面へ入る目的がなければ、今回の対策のためだけにログインする必要はありません。
3．ファームウェアの表示が見つからなくても、無理に変更しない
確認したSoftBankの公開サポート資料では、Airターミナル6の管理画面を開く手順は確認できましたが、本件の修正済みバージョン番号と、ファームウェア版を確認する画面内の確実な操作経路は特定できませんでした。表示を探して設定を変更するより、通常の接続状態を保ち、必要なら公式サポートへ相談するのが確実です。
OSコマンドインジェクションとは？root権限で何が起きる？
ルーターの管理画面は、Wi-Fiやネットワークの設定変更を受け付ける仕組みです。OSコマンドインジェクションは、入力値を処理する際の不備を利用し、本来は設定値として扱う内容を、OSへの命令として実行させてしまう問題です。これは脆弱性の一般的な仕組みの説明であり、Airターミナル6の具体的な入力箇所や攻撃手順が公開されたことを意味しません。
JVNが示す今回の影響は、Web管理画面にログイン可能なユーザーが、機器内でroot権限の任意コマンドを実行できる可能性です。rootはLinux系OSなどの管理者権限に相当する非常に強い権限です。正常な管理画面で許される操作の範囲を超えて、機器内部を操作できる可能性がある点が問題です。
| 確認すべき条件 | 今回の意味 |
|---|---|
| 管理画面へのログイン | 必要。誰でもインターネットから無条件に乗っ取れると発表されたわけではない |
| ネットワークからの到達性 | CVSS v4.0の攻撃元はAV:A（隣接ネットワーク）。家庭内LANやWi-Fiなどの境界を意識する必要がある |
| 必要な権限 | CVSS上はPR:L（低い権限）。ログイン後に本来の権限を超える操作が問題となる |
| ユーザー操作 | CVSS上はUI:N（別の利用者の操作を必要としない） |
| 実際の侵害・情報漏えい | 今回確認したJVN・ベンダ情報には、実被害や流出件数の記載はない |
したがって、「この製品を使っている家庭の情報が流出した」「外部からパスワードなしで一斉に侵入できる」といった表現は、公表内容を超えています。リスクは重大ですが、成立条件と確認済みの被害を区別する必要があります。
自宅で気を付けたいこと：Wi-Fiと管理画面の安全対策
今回の脆弱性そのものは自動更新で修正されます。そのうえで、管理画面にアクセスできる人を不用意に増やさないことは、家庭用ルーター全般で有効な安全対策です。
- Wi-Fiの暗号キーを他人にむやみに教えない：知らない端末に家庭内ネットワークへの参加を許さないための基本です。
- 管理画面の認証情報を公開しない：Airターミナル6の初期管理パスワードは機器固有です。本体ラベルの写真をSNS等に投稿しないようにしましょう。
- 不用意な遠隔管理や設定変更を避ける：操作が必要ならSoftBank公式の説明を参照し、変更内容を確認してください。
- 機器の更新を妨げない：常時利用する機器は通常の接続状態を維持し、異常時は公式サポートに相談します。
これらはルーター全般の防御策です。今回のOSコマンドインジェクションをWi-Fiパスワードの変更だけで修正できるわけではありません。根本対策はSoftBankの修正済みファームウェアです。
よくある質問（FAQ）
Airターミナル6の利用をすぐに停止すべきですか？
JVNとSoftBankは利用停止を求めておらず、修正済みファームウェアの自動適用を案内しています。通常利用している機器は、基本的にそのまま接続を保って問題ありません。
新しいAirターミナルに交換する必要はありますか？
本件を理由とした一律の機器交換は、確認した公式資料では案内されていません。更新で対処する内容です。故障や更新不可の疑いがある場合は個別にSoftBankへ相談してください。
Airターミナル5や他社のWi-Fiルーターにも影響しますか？
今回のJVNで対象として指定されているのはAirターミナル6のv1.01.80以前です。ほかの機種への影響を本件から推定することはできません。
管理画面にログインできるだけで、すぐに乗っ取られますか？
ログイン可能なユーザーによってroot権限のコマンド実行につながる可能性がある、というのがJVNの評価です。ログインしただけで自動的に侵害が起こると発表されたわけではありません。
実際に攻撃された事例はありますか？
2026年11月12日に確認したJVNとSoftBank提供情報には、実際の悪用事例や被害件数は記されていません。被害がなかったと断定できるわけではありませんが、公表済みの情報から被害発生を事実として報じることはできません。
まとめ：Airターミナル6の脆弱性は自動更新で対策済み
Airターミナル6のv1.01.80以前に、ログイン可能なユーザーがroot権限でOSコマンドを実行するおそれのある脆弱性がありました。深刻度はCVSS v4.0で8.6と高いものの、SoftBankは2026年9月に修正版を提供し、自動適用すると説明しています。
利用者が優先すべきなのは、対象機器を確認し、普段どおりネットワークにつながる状態を保つことです。非公式のファームウェア配布サイトを探したり、不安から初期化を繰り返したりする必要はありません。
脆弱性情報の読み方や、CVSSの数字だけに頼らない優先順位の付け方は、関連記事「脆弱性対応は何から始める？CVE・CVSS・KEVで判断する企業担当者の実践ガイド」でも説明しています。
一次情報・更新履歴
- JVN#64740097：SoftBank製Airターミナル6におけるOSコマンドインジェクションの脆弱性（2026年11月12日公表）
- JVN：ソフトバンク株式会社からの情報（2026年9月の修正と自動適用を明記）
- SoftBank公式：Airターミナル詳細設定（Airターミナル6のログイン方法）
- SoftBank公式：使わない時は電源をOFFにしても大丈夫ですか？（ソフトウェア更新と電源について）
初稿・一次情報確認：2026年11月12日（日本時間）。影響バージョン・深刻度・対応方針は上記公式発表を根拠としています。掲載したアイキャッチの機器はイメージ図であり、実物の製品写真ではありません。
