Tenda AC10 httpd formAddMacfilterRule OSコマンドインジェクション

Tenda AC10 ルーター (バージョン 16.03.10.10multiTDE01) において、コマンドインジェクションの脆弱性 (CVE-2026-5547) が発見されました。この脆弱性は、/bin/httpd ファイル内の formAddMacfilterRule 関数に存在します。攻撃者はこの脆弱性を悪用して、デバイス上で任意のオペレーティングシステムコマンドを実行し、ネットワークセキュリティを侵害する可能性があります。この脆弱性は CVSS スケールで 6.3 と評価されており、中程度のリスクを示しています。現在利用可能な修正プログラムがないことは状況を悪化させ、慎重なリスク評価と代替の軽減策の実施が必要となります。

Small and medium-sized businesses (SMBs) and home users relying on Tenda AC10 routers running the vulnerable firmware version are at risk. Shared hosting environments utilizing Tenda AC10 routers for network management are also particularly vulnerable, as a compromise could impact multiple tenants. Users with exposed router management interfaces are at increased risk.

• linux / server:

journalctl -u httpd | grep -i "formAddMacfilterRule"

• linux / server:

ps aux | grep /bin/httpd

• generic web:

curl -I http://<router_ip>/bin/httpd/formAddMacfilterRule

• generic web:

 grep -r "formAddMacfilterRule" /bin/httpd

1. 2026-04-05Disclosure

   disclosure

1. 予約済み2026-04-04
2. 公開日2026-04-05
3. 更新日2026-04-06
4. EPSS 更新日2026-04-12

Tenda から CVE-2026-5547 の公式な修正プログラムがないため、軽減策はデバイスへの露出を制限することに重点を置く必要があります。Tenda AC10 ルーターを重要なリソースから分離するために、ネットワークセグメンテーションを強く推奨します。必須でない場合は MAC フィルタリング機能を無効にすることで、攻撃対象領域を減らすことができます。不審なアクティビティがないかネットワークトラフィックを監視することが重要です。より安全なモデルに置き換えることを検討することは、長期的な最も堅牢なソリューションです。脆弱なバージョンでない最新のファームウェアに更新することが重要なステップですが、修正を保証するものではありません。