TP-Linkは、Archer BE800 V1、Archer BE3600 V1、Archer AX75 V1ルーターに影響する3件の深刻度「高」のコマンドインジェクション脆弱性を公開しました。
CVE-2026-9254、CVE-2026-16348、CVE-2026-78541として追跡されているこれらの脆弱性は、攻撃者に任意のOSコマンドの実行をroot権限で許してしまう可能性があります。
最も深刻なCVE-2026-9254は、3機種すべてのペアレンタルコントロール機能に影響します。この脆弱性は、特定のパラメータにおける特殊文字のフィルタリングおよび無害化が不十分であることに起因します。
LAN経由の攻撃者は、脆弱なデバイスにローカルネットワークからアクセスできさえすれば、認証なしでこの脆弱性を悪用できます。
TP-LinkはCVE-2026-9254にCVSS v4.0スコア8.7（深刻度「高」）を割り当てました。悪用に成功すると、デバイスが完全に乗っ取られる恐れがあり、攻撃者はルーター自体だけでなく、そこを通過する通信の機密性・完全性・可用性にも影響を及ぼすことができます。
ネットワークゲートウェイでroot権限のコード実行が可能になれば、通信の傍受、DNS操作、設定変更、不正なファームウェア関連の活動、さらには接続先システムを狙った追加攻撃につながる可能性があります。
2つ目の脆弱性CVE-2026-16348は、Archer BE800 V1のVPN接続機能に存在する、認証を要するコマンドインジェクションの欠陥です。管理者権限を持つ攻撃者は、VPN接続を通じてシェルのメタ文字を注入し、root権限でコマンドを実行できます。
悪用には管理者権限が必要ですが、TP-Linkは、この脆弱性が悪用されると永続的なバックドアの設置、認証情報の窃取、LAN内の偵察、さらにはルーターを踏み台とした他のネットワーク機器への攻撃を招く恐れがあると警告しています。
CVE-2026-16348のCVSS v4.0スコアは8.5です。その影響の大きさは、ルーターの管理者認証情報が漏洩した場合のリスクを浮き彫りにしています。特に、リモート管理機能やVPNサービスが信頼度の低いローカルユーザーにも公開されている環境では注意が必要です。
TP-Linkはさらに、Archer BE3600 V1に影響する保存型OSコマンドインジェクション脆弱性CVE-2026-78541にも対処しました。管理者権限を持つ隣接ネットワーク上の認証済み攻撃者は、シェルのメタ文字を含むペアレンタルコントロールプロファイルを作成できます。
この悪意あるプロファイル名は、その後クラウドレポートの日次生成処理の際に処理され、任意のコマンド実行を引き起こす可能性があります。
即時実行型のインジェクションの欠陥とは異なり、保存型コマンドインジェクションは実行が遅延して発生することがあります。ペイロードがまず保存され、後にルーターの自動処理がそのデータを扱う際に実行される仕組みのため、悪意ある活動の発見が難しくなる可能性があります。
影響を受けるユーザーは、以下の修正済みファームウェアバージョンへの更新が必要です。
管理者は、TP-Linkの公式地域別ダウンロードポータルからアップデートを入手し、インストール前にルーターのハードウェアバージョンを確認し、パッチ適用後には管理者アカウントとペアレンタルコントロールプロファイルを見直すことが推奨されます。
不要なリモート管理機能を無効化し、アクセスを信頼できるLANセグメントに限定し、ルーターの管理者認証情報を定期的に変更することで、リスクをさらに低減できます。
不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストをセキュリティチームに。 ANY.RUNで調査力を強化
翻訳元: https://cyberpress.org/tp-link-archer-command-injection-flaws/
