複数の米国ブロードバンドプロバイダーが使用しているCalix GS7 XGS(GS5239XG)住宅用ルーターに未パッチの脆弱性が存在し、リモートの未認証攻撃者がポートフォワーディングルールを作成できてしまいます。これにより、ローカルネットワーク上のデバイスがインターネット上に公開されてしまう恐れがあります。
この脆弱性はCVE-2026-75501として追跡されており、認証の欠如が原因の問題とされています。影響を受けるのはEXOS/6.6.47ファームウェアを実行しているデバイスです。
セキュリティ研究者のBrian Khan Quintana氏がこの脆弱性を発見し、6月7日にベンダーへの通知を試みましたが応答が得られなかったため、Carnegie Mellon CERT Coordination Centerに脆弱性を報告しました。
その後もベンダーへの連絡を複数回試みましたが応答がなかったため、CERT/CCが公開の調整を行い、Quintana氏が技術的な詳細を公表しました。
Calixは米国のブロードバンドプロバイダー市場において重要なベンダーであり、Cox Communications、Brightspeed、ALLO、CityFibre、Conexonといった大手企業と取引しています。
影響を受けるモデルGS5239XGは、GigaSpire 7u10txg としても販売されており、Wi-Fi 7機能と統合型XGS-PON光回線終端装置を組み合わせた新しいプレミアムゲートウェイ機器です。
CVE-2026-75501の脆弱性は、デバイスが「MiniUPnPd制御エンドポイントをWANインターフェース上のTCPポート5000でアクセス制御なしに露出させている」ことが原因です。
「影響を受けるファームウェアバージョンでは、ルーターがUPnPのWANIPConnection SOAPサービスを、公開WANインターフェース上のTCPポート5000にバインドしています」とCERT/CCは警告しています。
これにより、公開ウェブ上の攻撃者は、認証を経ずにデバイスへ「ポートマッピングの追加・削除・列挙、または外部IPアドレスの照会を行うSOAPリクエスト」を送信できてしまいます。
この方法により、ハッカーはルーターのネットワークアドレス変換(NAT)およびファイアウォール保護を回避し、内部のカメラ、ネットワーク接続ストレージ(NAS)デバイス、管理インターフェース、IoT機器を露出させることが可能になります。
「世界中のどこからであっても、認証されていないリクエストを1回送るだけで、家の中にあるあらゆるデバイスに対してルーターのファイアウォールに恒久的な穴を開けることができてしまいます。パスワードも不要、プロンプトも表示されず、画面上には何も表示されません。しかもこのルールは再起動後も残り続けます」とQuintana氏は述べています。
同研究者によると、この脆弱性を悪用した攻撃者は以下のような行為が可能になるといいます。
- 任意のポートフォワーディングルールの作成
- 既存マッピングの削除
- ルーターの現在のマッピングの列挙
- ルーターの公開IPアドレスの取得
Quintana氏は自宅ネットワークの外部からリクエストを送信し、内部アドレスを露出させるポートマッピングを作成することでこの問題を検証しました。有効期限を設定せずに構成したマッピングは、ルーターの電源を入れ直した後も有効なまま残っていました。
これは実質的に、インターネット上の誰もが、脆弱性のあるCalixルーターに対して、公開ポートからのトラフィックをホームネットワーク内の任意のデバイスへ転送するよう指示できてしまうことを意味します。
CVE-2026-75501には現時点で修正パッチが存在しないため、Quintana氏は脆弱性のあるデバイスを使用しているユーザーに対し、管理インターフェース(Advanced → Security → UPnP)からUPnPを無効化するよう推奨しています。
同研究者は、この回避策によって一部のゲームが依存する自動ポート開放機能が無効になるものの、必要な場合は特定のポートを手動で開放することも常に可能だと指摘しています。
CERT/CCはまた、場合によっては当該設定がロックされていることがあると指摘しており、設定を変更できないユーザーに対しては、契約しているISPに連絡して無効化を依頼するよう呼びかけています。
BleepingComputerはこの脆弱性について、影響を受けるデバイスモデルやパッチ公開の予定についてコメントを求めCalixに連絡していますが、本記事の公開時点で回答は得られていません。
