ヤマハのルーターNWR100に脆弱性、外からコマンド実行のおそれ

やること

NWR100 は、ヤマハの無線LANルーターです。使っている場合は、ファームウェアを Rev.26.00.08 以降へ更新してください。

すぐに更新できない場合は、ヤマハが示す回避策をとります。IP フィルターや Web GUI のアクセス管理で、管理画面（Web GUI）に入れる端末や接続元を絞ってください。

何が危ないのか

ヤマハと JVN は10月28日に、NWR100 の脆弱性2件を公表しました。

CVE-2026-97854 は、OS コマンドインジェクションと呼ばれる欠陥です。特定の要求を送られると、ルーター上で任意の OS コマンドを実行されるおそれがあります。CVSS は v4.0 で 9.3、v3.1 で 9.8 です。

CVE-2026-109822 は、設定ファイルの書き出し機能の欠陥です。書き出したファイルを、ログインなしで読まれるおそれがあります。CVSS は v4.0 で 7.1 です。

ヤマハは、悪用された場合に不正なコードの実行、設定の変更、サービスの停止、設定情報の漏えいが起きうるとしています。実際に攻撃があったという記載はありません。

対象

対象は NWR100 のファームウェア Rev.26.00.07 以前です。ヤマハの UTM 装置、無線LANアクセスポイント、スイッチは影響を受けません。

ヤマハによると、初期設定では外から Web GUI に届きません。ただし、ポートを開けて外から届くようにしている場合は、インターネットから攻撃されるおそれがあります。無線LANでつないだ端末から Web GUI に届く場合も、同じく注意が必要です。