Linksys E8450、WAVLINK WN536AX6-A、WAVLINK WN551X3-Aを使っている方は、型番とファームウェアを確認してください。11月2日付で、バッファオーバーフローやOSコマンド注入に関する脆弱性情報がGitHub Advisory Databaseへ登録されています。
今回の3件はGitHubの「Unreviewed（未レビュー）」情報です。メーカーが修正版を正式に案内したことや、国内で被害が確認されたことを示すものではありません。修正版は今回の確認では特定できていません。まず対象機器を把握し、管理機能などをインターネットへ公開していないか確認してください。
WAVLINKの2件には攻撃コード公開の記載があります。ただし、公開されたコードがあることと、実際の攻撃被害が確認されたことは区別が必要です。
対象型番・ファームウェア・CVE一覧
| 製品 | 情報中で対象とされたファームウェア | CVE | 問題 |
|---|---|---|---|
| Linksys E8450 | 1.2.00.360516 | CVE-2026-120283 | スタックベースのバッファオーバーフロー |
| WAVLINK WN536AX6-A | V260507_2.0.0 | CVE-2026-120276 | OSコマンド注入 |
| WAVLINK WN551X3-A | M51X3_V251020-WO-182e965 | CVE-2026-120345 | OSコマンド注入 |
3件とも、GitHub画面ではCVSS v4の評価9.3、深刻度Criticalと表示されています。掲載ベクターにはPoCを示すE:Pが含まれ、9.3は脅威評価を含む表示値です。基本値だけのスコアと混同しないでください。また、登録情報の「Affected versions」「Patched versions」の欄はUnknownです。本文に書かれた特定の版以外について、安全とも影響ありとも決められません。
メーカー名が同じというだけで、別型番もすべて対象になるわけではありません。反対に、手元の版が表と違う場合も、その違いだけで対策済みとは言えません。メーカーへ対象範囲と修正版を確認してください。
3件で何が問題とされている？
Linksys E8450では、/www/cgi-bin/portal.cgiにある処理で、hidden_timezoneという入力を扱う際のメモリー操作に問題があるとされています。想定範囲を超えた書き込みを起こすバッファオーバーフローの報告で、遠隔から攻撃可能と記載されています。登録情報では、メーカーに事前連絡したものの返答がなかったと説明されています。これは登録情報の記述であり、メーカーの全対応状況を確認したものではありません。
WAVLINK WN536AX6-AではWeb管理機能、WN551X3-AではDNS解決の処理にOSコマンド注入が報告されています。OSコマンド注入は、外部から渡された入力が機器内部の命令として処理される問題です。単に管理画面の表示が崩れる問題として扱えません。
GitHubの評価ではいずれもネットワークからの攻撃、事前権限不要という条件が示されています。ただし、ネットワークから攻撃できるという評価だけでは、自分の設置環境でインターネットから到達可能かまでは分かりません。どの通信が機器へ届くかの確認が必要です。
「未レビュー」「PoC公開」「悪用確認」は別の情報
GitHub Advisory Databaseへの登録は、GitHubがその製品の修正版を提供したという意味ではありません。今回は未レビューの登録であり、メーカー公式の対策情報と照合して判断する必要があります。
PoCは、脆弱性を再現するための実証コードなどを指します。WAVLINKの2件は、公開された攻撃コードがあると記載されています。再現手段が公開されると攻撃の準備に利用されるおそれがありますが、その存在だけで自分の機器が侵害されたとは判断できません。
今回確認した資料からは、3件の国内被害や実際の攻撃での悪用確認はできていません。利用者が本番機器で公開コードを試すと、通信停止や設定への影響を起こすおそれがあります。確認は型番、版、公開設定、公式告知を中心に進めてください。
修正版が分からないときの確認手順
1．本体ラベルと管理画面を照合する
本体の型番を確認し、正規の管理画面でファームウェアの版を控えます。似た製品名でも末尾の記号やハードウェア版が違う場合があります。保守業者に任せている場合は、今回の型番とCVE番号を伝えて照合を依頼してください。
初期化や更新の前には、必要な設定と復旧手順を確認します。業務で使う機器なら、接続先、固定IP、VPNなど、止まると困る通信を把握してから作業時間を決めてください。
2．外部から届く通信と遠隔管理を確認する
使っていないインターネット側からの管理機能は停止し、必要な管理も接続元を制限してください。上位ルーターのポート転送、機器自身の遠隔管理、クラウド経由の管理などを個別に確認します。家庭内や社内から管理できる状態と、外部へ公開されている状態を区別してください。
この制限は攻撃される経路を減らす暫定策です。特にDNS処理など管理画面以外の機能も報告されているため、管理画面を閉じただけで3件すべてを防げるとは言えません。対象機能への通信を把握できない場合は、メーカーや保守担当者へ確認します。
3．メーカーへ、修正版と暫定対策を問い合わせる
公式サポートで、対象CVEへの該当、修正版の版番号、更新方法、修正までの暫定策を確認してください。配布ファイルの日付が新しいだけでは、今回の脆弱性が修正された証拠にはなりません。リリースノートやメーカー回答と照合します。
修正版を入手できず、公開状態や業務上の影響から危険が高いと判断する場合は、一時停止や代替機への切り替えも検討します。適合するハードウェア版・地域向けの公式ファームウェアを使い、非公式配布物への入れ替えを安易に行わないでください。
よくある質問
BUFFALOのNASやヤマハのルーターも対象ですか？
今回の3件は表に記載したLinksysとWAVLINKの機種に関する情報です。BUFFALOやヤマハ製品への該当を示す情報ではありません。各製品の安全性全般は、それぞれのメーカー告知で確認してください。
CVSSが高ければ、すぐ感染しているのですか？
CVSSは脆弱性の深刻さを示す評価です。感染済みかどうかや、実際の悪用件数を示す数値ではありません。対象機器、版、通信の到達範囲と合わせて対応を決めます。
初期化すれば修正できますか？
初期化だけでファームウェア内の脆弱性が修正されるとは限りません。侵害が疑われる場合は、ログや設定を保全してメーカーや専門業者に相談してください。修正と復旧は個別に確認する必要があります。
出典・確認日
GitHub Advisory Database：Linksys E8450／CVE-2026-120283
GitHub Advisory Database：WAVLINK WN536AX6-A／CVE-2026-120276
GitHub Advisory Database：WAVLINK WN551X3-A／CVE-2026-120345
確認日：2026年11月3日（日本時間）。対象情報や再開状況は、その後の公式発表もご確認ください。
