ASUSは、CVE-2026-13385として追跡されている重大なルーター脆弱性を修正しました。この脆弱性を悪用すると、リモートの中間者(MITM)攻撃者が、なりすましたサーバー経由で対象デバイスに任意のコマンドをダウンロードさせ、実行させることが可能になります。
この脆弱性は、家庭やスモールオフィス環境で広く導入されている境界ネットワーク機器のファームウェアレベルの処理における完全性に直接影響を及ぼします。
脆弱性は、特定のCN-SKUルーターモデルで使用されているASUSWRTファームウェアのUU機能に存在しています。該当するルーターは上流サービスに接続する際、応答の真正性と完全性を十分に検証していません。
ネットワーク経路上にいるリモートのMITM攻撃者は、この通信を傍受または誘導し、正規のASUSサービスになりすまして、攻撃者が制御するコンテンツを返すことができます。ルーターはこのコンテンツを正規のものとして信頼し、実行してしまいます。
CVE-2026-13385が悪用されると、攻撃者はルーター上で任意のコマンドを実行できるようになり、設定の完全な改ざん、DNSやトラフィックのリダイレクト、永続的なマルウェアのインストール、さらには侵害したルーターを踏み台にした内部ネットワークへの追加攻撃といった事態につながります。
ルーターはネットワークの末端に位置するため、1台のデバイスが侵害されるだけで、そこを経由するVPN通信、クラウドアクセス、管理インターフェースを含む全システムの機密性と完全性が損なわれる可能性があります。
この点から、支社や在宅勤務環境で家庭向けグレードの機器に依存している組織にとって、この脆弱性は特に危険なものとなっています。
ASUSが2026年7月15日に公開したアドバイザリでは、影響を受けるファームウェアブランチとして、CN-SKUルーターモデル向けの3.0.0.4_386、3.0.0.4_388、3.0.0.6_102の各シリーズが挙げられており、いずれも「Security Update for ASUS Router Firmware(ASUSルーターファームウェアのセキュリティアップデート)」としてまとめられています。
同じアドバイザリ群には、ルーターファームウェアの情報漏えいの問題であるCVE-2026-11851と、ASUS Router Androidアプリに影響するCVE-2026-12960も含まれており、ネットワークおよび管理コンポーネント全体にわたる、より広範なエコシステムの強化がうかがえます。
ASUSはこれらの問題を統合セキュリティアドバイザリページで公開しており、管理者はCVE IDまたは製品ファミリーで検索して該当項目を見つける必要があります。
開示時点で、ASUSはCVE-2026-13385について実際の悪用も、公開されている概念実証(PoC)も確認されていないと報告していますが、深刻度が重大でありリモート悪用の可能性があることから、顧客に対して直ちにパッチを適用するよう強く促しています。
管理者は、影響を受けるすべてのルーターを最新の修正済みファームウェアに更新し、デバイスが影響を受ける3.0.0.4_386、3.0.0.4_388、3.0.0.6_102のいずれのビルドも稼働していないことを確認する必要があります。
また組織は、MITM攻撃の機会を減らすために上流のネットワークセキュリティを強化し、異常なトラフィックや予期しない再起動がないかルーターを監視し、重要な内部資産を信頼できない旧式の境界機器から分離するべきです。
ドライバー、ユーティリティ、アプリの各アドバイザリが同時期に公開されていることを踏まえると、これを製品群全体にわたる協調的なパッチ適用サイクルとして扱うことが、ASUSベースの環境全体における攻撃対象領域を最小限に抑える助けとなります。
SOC調査の死角を減らす、ANY.RUNで脅威をより早期に封じ込め、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/critical-asus-router-flaw-2/
