TP-Link社のTL-WR940Nルーターで新たに発見された脆弱性により、認証を受けていない攻撃者がリモートでコードを実行できることが判明し、数百万台に及ぶ家庭やスモールオフィスのネットワークがリスクにさらされています。
CVE-2026-12935として追跡されているこの脆弱性は、CVSS v4.0スコアが8.7(高)と評価されており、脆弱なファームウェアを実行しているハードウェアバージョンV6に影響を及ぼします。
脆弱性は、広く普及しているコンシューマー向け無線ルーターであるTL-WR940N v6のRTSPコネクション追跡モジュールに存在します。
アドバイザリによると、この脆弱性はスタックベースのバッファオーバーフローとして現れ、ローカルネットワーク上のデバイスが攻撃者の管理下にある悪意のあるRTSPサーバーへ接続しようとした際に発生します。
接続が確立されると、特別に細工されたRTSPメッセージがルーターのカーネルモジュール内で不適切なメモリ処理を引き起こし、スタックを破壊して任意のコード実行への道を開いてしまいます。
この脆弱性は、デバイスがデフォルト設定の状態であれば、認証を受けていない攻撃者でも悪用可能です。つまり、LAN上のクライアントを悪意のあるRTSPエンドポイントに接続させるよう仕向けること以外には、認証情報も事前のアクセスも特別な権限も必要ありません。
悪用に成功すると、最低でもサービス拒否(DoS)状態を引き起こし、最悪の場合は完全なリモートコード実行に至り、攻撃者が侵害されたデバイスを完全に制御下に置くことになります。
ルーターはネットワークの境界に位置し、すべての受信・送信トラフィックを仲介する立場にあるため、侵害されたTL-WR940Nは、ラテラルムーブメント(横方向への侵入拡大)やトラフィック傍受、ボットネットマルウェアの展開の足がかりとして悪用される恐れがあります。
TP-Linkの確認によると、この攻撃はネットワーク経由で発生し、複雑度は低く、権限も不要ですが、RTSP接続を開始させるためにはある程度のユーザー操作が必要になるとのことです。
影響度の指標は、脆弱なコンポーネント自体における機密性・完全性・可用性の著しい損失を反映しています。TP-Linkは、影響を受けるハードウェアの全地域向けバリエーションに対応するファームウェアパッチをすでにリリースしています。
EN_V6_260528、US_V6_260528、またはJP_V6_260527のファームウェアを実行しているデバイスは保護されています。TL-WR940N v6でそれ以前のファームウェアを使用しているユーザーは、これを優先度の高いアップデートとして扱うべきです。ファームウェアのダウンロードは、EN・US・JPの各市場向けにTP-Linkの地域別サポートポータルから直接入手できます。
境界デバイスを監視しているセキュリティチームは、特にルーターが信頼できないネットワークやゲストトラフィックにさらされている環境において、TL-WR940N機器をただちにファームウェア確認の対象としてフラグ付けすべきです。
この脆弱性は研究者のRyo Shimada氏によって責任ある形で開示されており、コンシューマー向けIoTセキュリティにおける協調的な脆弱性開示プログラムの価値を改めて示す事例となりました。
ボットネット運用者が大規模DDoSインフラ構築のために未パッチのコンシューマー向けルーターを標的とする傾向が強まっていることを踏まえると、未パッチのTL-WR940Nデバイスは、個々の家庭やオフィスのネットワークにとどまらない重大なリスクを意味します。
こうしたデバイスを多数管理している管理者は、パッチ適用を最優先とし、導入済みの全ユニットにわたってファームウェアバージョンを遅滞なく確認する必要があります。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込めることで、対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/critical-tp-link-router-flaw/