CVE-2026-42062: コマンドインジェクション in ELECOM WRC-BE72XSD-B
プラットフォーム
linux
コンポーネント
elecom-wrc-be72xsd-b
ELECOM WRC-BE72XSD-B無線LANアクセスポイントにおいて、ユーザー名パラメータの処理におけるコマンドインジェクションの脆弱性が確認されました。認証なしで悪意のあるリクエストを送信することで、任意のOSコマンドを実行される可能性があります。影響を受けるバージョンは1.1.0–v1.1.1およびそれ以前です。最新バージョンへのアップデートを推奨します。
影響と攻撃シナリオ
この脆弱性を悪用されると、攻撃者は無線LANアクセスポイント上で任意のOSコマンドを実行できます。これにより、機密情報の窃取、設定の変更、さらにはアクセスポイントの完全な制御が可能になります。攻撃者は、ネットワーク内の他のデバイスへの攻撃の足がかりとしてアクセスポイントを利用する可能性もあります。認証不要であるため、広範囲な攻撃が容易に実行されるリスクがあります。類似の脆弱性では、マルウェアのインストールや、ネットワークトラフィックの傍受といった攻撃事例が報告されています。
悪用の状況
本脆弱性は、2026年5月13日に公開されました。現時点では、KEV（Kernel Exploit Database）への登録状況は不明です。EPSS（Exploit Prediction Score System）のスコアは、攻撃の可能性を評価する指標として、低、中、高のいずれかに分類されますが、現時点では評価されていません。公的に利用可能なPoC（Proof of Concept）は確認されていませんが、認証不要であるため、攻撃者による悪用が懸念されます。
脅威インテリジェンス
エクスプロイト状況
CISA SSVC
CVSS ベクトル
これらのメトリクスの意味は？
- Attack Vector
- ネットワーク — インターネット経由でリモートから悪用可能。物理・ローカルアクセス不要。
- Attack Complexity
- 低 — 特別な条件不要。安定して悪用可能。
- Privileges Required
- なし — 認証不要。資格情報なしで悪用可能。
- User Interaction
- なし — 自動かつ無音の攻撃。被害者は何もしない。
- Scope
- 変化なし — 影響は脆弱なコンポーネントのみ。
- Confidentiality
- 高 — 機密性の完全喪失。全データが読み取り可能。
- Integrity
- 高 — 任意のデータの書き込み・変更・削除が可能。
- Availability
- 高 — 完全なクラッシュまたはリソース枯渇。完全なサービス拒否。
影響を受けるソフトウェア
弱点分類 (CWE)
タイムライン
- 予約済み
- 公開日
緩和策と回避策
ELECOMは、この脆弱性を修正した最新バージョンへのアップデートを推奨しています。アップデートが利用できない場合、一時的な緩和策として、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるリクエストをフィルタリングすることを検討してください。ユーザー名パラメータへの入力値の検証を強化することも有効です。また、アクセスポイントへの外部からのアクセスを制限するなどのネットワークセグメンテーションも有効な対策となります。アップデート後、アクセスポイントが正常に動作することを確認してください。
修正方法翻訳中…
Actualice el firmware del dispositivo WRC-BE72XSD-B a una versión corregida. Consulte el sitio web de ELECOM para obtener más información y las actualizaciones de firmware disponibles: https://www.elecom.co.jp/news/security/20260512-01/
よくある質問
CVE-2026-42062 — コマンドインジェクション in ELECOM WRC-BE72XSD-Bとは何ですか？
CVE-2026-42062は、ELECOM WRC-BE72XSD-B無線LANアクセスポイントにおけるユーザー名パラメータの処理におけるコマンドインジェクションの脆弱性です。認証なしで任意のOSコマンドを実行される可能性があります。
CVE-2026-42062 in ELECOM WRC-BE72XSD-Bの影響はありますか？
はい、バージョン1.1.0–v1.1.1およびそれ以前のバージョンを使用している場合、影響を受けます。攻撃者はアクセスポイント上で任意のOSコマンドを実行し、機密情報を窃取したり、設定を変更したりする可能性があります。
CVE-2026-42062 in ELECOM WRC-BE72XSD-Bを修正するにはどうすればよいですか？
最新バージョンへのアップデートが推奨されます。アップデートが利用できない場合は、WAFやプロキシサーバーを使用して悪意のあるリクエストをフィルタリングするなどの緩和策を講じてください。
CVE-2026-42062は活発に悪用されていますか？
現時点では公的に利用可能なPoCは確認されていませんが、認証不要であるため、攻撃者による悪用が懸念されます。常に最新のセキュリティ情報を確認し、対策を講じることを推奨します。
CVE-2026-42062に関するELECOMの公式アドバイザリはどこで入手できますか？
ELECOMの公式ウェブサイトで、製品に関するセキュリティ情報をご確認ください。CVE-2026-42062に関するアドバイザリが公開されている可能性があります。
今すぐ試す — アカウント不要
Upload any manifest (composer.lock, package-lock.json, WordPress plugin list…) or paste your component list. You get a vulnerability report instantly. Uploading a file is just the start: with an account you get continuous monitoring, Slack/email alerts, multi-project and white-label reports.
依存関係ファイルをドラッグ＆ドロップ
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...