D-Linkは、マネージドGigabitスタッカブルスイッチ「DGS-3130シリーズ」に影響する、パッチ未公開の複数のセキュリティ上の欠陥について、緩和策を公表しました。
これらのスイッチ製品はマルチギガビットのアップリンクを備えており、企業ネットワークの管理者はデータのボトルネックを解消できます。主に中小企業（SMB）やメトロイーサネット環境での利用を想定した製品です。
D-Linkは、これらの脆弱性の詳細を明らかにしておらず、追跡しやすくするためのCVE IDもまだ公表していません。ただし、Spectrum Community Solutionsのネットワークエンジニア、Giresh Kumar Enugu氏が、D-Link Discovery Protocol（DDP）の認証、アクセス制御、情報の取り扱いに関する不具合を発見したとしています。
攻撃に成功すると、攻撃者は機器の機密データを取得したり、認証情報や設定を不正に変更したり、SNMPコミュニティを漏えいさせたりする恐れがあります。サービスの中断や機器のリセットを引き起こされる可能性もあります。
これらのゼロデイ脆弱性は、DGS-3130-30TSの複数のファームウェアバージョンに影響します。同社は現在も、他のD-Linkスイッチ製品やファームウェアのセキュリティ機構への影響を調査中です。対象には、SSHサービスのセキュリティ設定、OS基盤の認証情報の保護、ファームウェアの暗号化や組み込み暗号鍵の扱いが含まれます。
D-Linkは「報告された脆弱性は、D-Link Discovery Protocol（DDP）と、機器のファームウェアにおけるセキュリティ設計の一部の要素に関係しています」と説明しています。
「セキュリティ研究者によると、一部の脆弱性を悪用されると、影響を受けるネットワークにアクセスできる攻撃者が、機器の機密情報を取得したり、不正な管理操作を実行したり、機器の設定を変更したり、ネットワークサービスを妨害したりする可能性があります」
D-Linkは、これらの欠陥に対処する新しいファームウェアを公開するまでの間、管理者に次の対策を求めています。既知の主要な攻撃経路を断つためDDPを無効化すること、不要なSNMPコミュニティ文字列やデフォルトのSNMPコミュニティ文字列を削除すること、SSH、Web UI、SNMPへのアクセスを、隔離された管理用ネットワークと指定した管理者ホストのみに制限することです。
あわせて、スイッチ設定のオフラインバックアップを保管し、機器のログを監視するよう推奨しています。予期しない設定変更、意図しない再起動、工場出荷時設定へのリセットが発生していないかを確認してください。
D-Linkは9月にも、最高深刻度のゼロデイ脆弱性（CVE-2026-86296）について顧客に警告しました。この脆弱性は、サポートが終了した旧型のデュアルバンドWi-FiルーターDIR-822Aに影響します。概念実証（PoC）エクスプロイトが公開されている一方、パッチは提供されていません。
