TP-Linkのフラッグシップルーター2機種において、深刻度の高い認証済みコマンドインジェクション脆弱性が公開されました。家庭用・企業用ネットワークへの深刻なリスクが懸念されています。
CVE-2026-5509として追跡されているこの脆弱性は、CVSS v4.0スコア8.5（High）を記録しており、Archer BE450 v1およびArcher BE7200 v1に影響します。攻撃者はWeb管理インターフェースを通じて、任意のOSコマンドを実行できます。
TP-Linkのアドバイザリによると、この脆弱性はルーターのWeb管理バックエンドにおける入力サニタイズ処理の不備に起因しています。
攻撃者は管理パネルへの認証に成功した後、ブラウザの開発者コンソールを利用して、サニタイズされていない細工済みの入力をバックエンドコマンドに直接渡すことができます。この手法は、古典的なCWE-77（コマンド内で使用される特殊要素の不適切な無効化）と一致しています。
CVSSベクター CVSS:4.0/AV:A/AC:L/AT:N/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N が示すとおり、悪用にはネットワーク隣接性と高い権限が必要ですが、攻撃の複雑さは低く、ユーザーインタラクションは一切不要です。
これは、過去に確認されたTP-Linkルーターの脆弱性パターンと一致しています。Archer MR600に影響するCVE-2025-14756においても、認証済みの攻撃者がブラウザコンソール経由でコマンドインジェクションを実行し、デバイスを完全に掌握できることが確認されています。
CVE-2026-5509の悪用に成功した攻撃者は、デバイス上で昇格した権限により任意のコマンドを実行できます。
これにより、悪意ある第三者は不正なサービスの起動、重要なシステム設定の改ざん、またはルーターの動作環境の完全な掌握が可能になります。
デバイスレベルの制御にとどまらず、脅威アクターは侵害されたルーターを通過するすべての機密ネットワークトラフィックを傍受できるため、企業・個人双方のデータプライバシーに対して深刻な脅威をもたらします。
SentinelOneの脆弱性インテリジェンスデータベースでも、この脆弱性は高深刻度に分類されており、早急な対応の必要性がさらに強調されています。
影響を受ける両モデルは、脆弱性を修正するためにファームウェアの即時アップグレードが必要です。バージョン1.3.0 Build 20260416より前のファームウェアを実行しているArcher BE450 v1およびArcher BE7200 v1が脆弱であることが確認されています。
なお、TP-Linkが公式に確認しているとおり、BE450もBE7200も米国では販売されておらず、日本を含むその他の地域市場に流通が集中しています。
影響を受けるファームウェアを使用しているユーザーは、TP-Linkの公式サポートページから最新ファームウェアバージョン1.3.0 Build 20260416以降を直ちにダウンロードして適用してください。
パッチ適用に加えて、管理者は管理インターフェースに強固で固有の認証情報を設定し、Webによる管理アクセスを信頼済みIPアドレスに限定するとともに、必要がない限りリモート管理を無効化することを推奨します。
TP-LinkはArcherシリーズ全体にわたり、CVE-2023-1389（Archer AX21）やCVE-2025-14756（Archer MR600）など、コマンドインジェクションの脆弱性が繰り返し発生している実績があります。組織はこうした状況を踏まえ、定期的なファームウェア監査をネットワークセキュリティ対策の一環として取り入れることが求められます。
翻訳元: https://cyberpress.org/tp-link-router-vulnerability/