ヤマハNWR100の脆弱性（CVE-2026-97854ほか）｜OSコマンド実行のおそれ

ヤマハと JVN は2026年10月28日、無線LANルーター「NWR100」の脆弱性2件を公表しました（JVNVU#91027179、ヤマハの2026年10月28日の発表）。 1件は、特定のリクエストを送られると任意の OS コマンドを実行されるおそれがあるもので、CVSS v3.1 の基本値は 9.8 です。 小さな事務所や店舗で NWR100 を使っている会社が対象です。ファームウェアの更新で直ります。

公表された内容

• 対象：NWR100 のファームウェア Rev.26.00.07 以前（JVN・ヤマハ）。ヤマハは、ほかのルーター・UTM・無線LANアクセスポイント・スイッチは対象外としています
• 脆弱性1（CVE-2026-97854）：OS コマンドインジェクション。特定のリクエストで任意の OS コマンドを実行されるおそれ。CVSS は v3.1 で 9.8、v4.0 で 9.3（JVN）
• 脆弱性2（CVE-2026-109822）：設定（CONFIG）ファイルのエクスポートの機能で作られたファイルを、認証なしで読み取られるおそれ。CVSS は v3.1 で 6.5、v4.0 で 7.1（JVN）
• 起こりうること：不正なコードの実行、設定の変更、サービスの妨害（DoS）、設定の情報の漏えいなど（ヤマハ）
• 攻撃される経路：ポートを開けるなどして Web GUI（管理画面）をインターネットに出している場合は、インターネットから攻撃されるおそれ。初期の設定ではインターネット側から Web GUI にはつながらない。Web GUI につながる無線LANの端末からも攻撃されるおそれがある（ヤマハ）
• 修正：ファームウェアを Rev.26.00.08 以降に更新する（JVN・ヤマハ）
• 回避策：すぐ更新できない場合は、IP フィルターや Web GUI のアクセスの管理で、管理画面につながる端末・接続元を絞る（JVN・ヤマハ）
• 悪用の有無：JVN・ヤマハの発表には書かれていません

中小企業が今日からできること

• 機器を探す：事務所・店舗・倉庫に NWR100 がないかを確かめる。ネットワークの工事を頼んだ会社が置いた機器も含めて書き出す
• ファームウェアの版を見る：管理画面でファームウェアの版を見て、Rev.26.00.07 以前なら Rev.26.00.08 以降へ更新する
• 管理画面を外に出していないか確かめる：ポートの開放や設定で、Web GUI がインターネットから見える状態になっていないかを確かめ、要らなければ閉じる
• 無線LANを分ける：来客用・店舗のお客さま用の無線LANから管理画面につながらないよう、接続元の制限やネットワークの分け方を見直す
• 更新のあとに設定を見直す：管理者のパスワードを変え、覚えのない設定の変更（転送の設定・アカウントなど）がないかを確かめる