隠されたデバッグコードが復活、TP-Linkルーターに新たな重大なルートアクセス脆弱性が続出

残存コードによるルートアクセスの復活

以前から知られていたCVE-2024-21827の問題では、攻撃者が「残されたデバッグコード」機能を悪用してTP-Linkルーターでルートアクセスを取得できました。

TP-Linkはこの脆弱性にパッチを適用しましたが、アップデート後も同じデバッグメカニズムの一部が特定の条件下で利用可能なまま残っていました。

デバイス上に特定のシステムファイル（image_type_debug）が作成されると、従来のルートログインの挙動が再び現れました。

この発見が、新たなCVE-2025-7851脆弱性の基礎となりました。

調査の結果、ルーターのWireGuard VPN設定インターフェースに影響する2つ目の脆弱性（CVE-2025-7850）も明らかになりました。

プライベートキー欄の不適切なサニタイズにより、認証済みユーザーがOSコマンドを注入でき、ルートユーザーとして完全なリモートコード実行が可能となります。

実際には、一方の脆弱性を悪用することで、もう一方の脆弱性も発動しやすくなり、デバイスの完全な制御への複合的な経路が生まれます。

このことは、日常的な修正が既存の攻撃経路を排除するどころか、新たな攻撃経路を生み出す場合があることを示しています。

研究チームは、CVE-2025-7850が一部の構成では認証なしでリモートから悪用される可能性があると警告しています。

これにより、VPN設定が攻撃者にとって予想外の侵入口となる可能性があります。

研究者たちはルートアクセスを利用して、TP-Linkのファームウェアをより包括的に調査することができました。

その結果、他のTP-Linkデバイスファミリーにも15件の追加脆弱性が発見され、現在は調整された情報公開のもと、2026年初頭までに修正される予定です。

Forescoutは、TP-Linkがファームウェアアップデートを公開したら直ちに適用し、不要なリモートアクセスを無効化し、ネットワークログを監視して悪用の兆候をチェックすることを推奨しています。

この研究はルーターの脆弱性調査に有益な知見をもたらす一方で、憂慮すべき傾向も明らかにしています。

同様の「ルート化」脆弱性が複数のネットワーク機器ブランドで繰り返し発生しており、迅速なパッチでは対処しきれないシステム的なコーディングの欠陥が浮き彫りになっています。

ベンダーが根本原因にしっかりと対処しない限り、パッチ済みデバイスであっても新しいファームウェアの下に古い脆弱性が隠れている可能性があり、セキュアなルーターであっても悪用されるリスクが残ります。