エレコム製の法人向けWi-Fi 6アクセスポイント5機種および個人向けルーター2機種の利用者は、直ちに最新のファームウェアへアップデートする必要がある。JPCERT/CCと情報処理推進機構（IPA）は、これらの機器に存在する重要度の高いOSコマンドインジェクション脆弱性などを公表した。悪用には管理者権限が必要だが、同時に公表されたXSS脆弱性と組み合わせることで、攻撃者に機器を完全に制御される恐れがある。■エレコム製Wi-Fi機器でコマンドインジェクション脆弱性が公表JPCERT/CCと情報処理推進機構（IPA）は28日、エレコムのネットワーク機器におけるOSコマンドインジェクション脆弱性を公表した（JVN#56870912）。法人向けのWi-Fi 6アクセスポイント5機種と個人向けルーター2機種に深刻なコマンド実行の脆弱性が存在し、全7機種向けの修正ファームウェアが同時に公開されている。最も深刻な2つの脆弱性はCVSS 4.0スコアで8.6と評価されており、管理者のログイン認証情報を持つ攻撃者が、影響を受ける機器上で任意のOSコマンドを実行できる可能性がある。この「認証が必要」という条件は注意深く読み解く必要がある。法人向け機器で同時に公表されたクロスサイトスクリプティング（XSS）脆弱性によって、インジェクション脆弱性を悪用する前に管理者のセッション情報を盗み出す現実的な経路が生じるためだ。しかし、より差し迫った問題は、同種の脆弱性が繰り返し見つかっている点にある。エレコム製品の同じWebUIコードベースでは、2021年から現在までに、OSコマンドインジェクション脆弱性が少なくとも5回のJPCERT注意喚起サイクルで表面化している。管理者に求められる対応は、パッチを適用して終わりというものではない。エレコムのWebUIは継続的に安全性の問題が見つかっている攻撃対象領域であり、本日のファームウェアアップデートを適用した後も補完的な対策が必要である。■設定復元機能とWebUIにおける脆弱性の詳細JVN#56870912の注意喚起では、2つの製品カテゴリーにまたがる3件のCVEが対象となっている。CVE-2026-61376（設定復元機能経由のOSコマンドインジェクション、CWE-78）：CVSS 4.0スコアは8.6で、エレコムのWABシリーズに属する法人向けアクセスポイント5機種に影響する。有効な管理者認証情報を持つ攻撃者は、Web管理インターフェースの「設定復元」機能を通じて細工したリクエストを送信することで、基盤となるLinuxベースのOS上で任意のコマンドを実行し、アクセスポイントを完全に制御できる。CVSSベクトルは「AV:N/AC:L/AT:N/PR:H/UI:N」であり、ネットワーク経由で攻撃でき、特別な攻撃条件やユーザー操作は必要ない一方、高い権限、すなわち管理者のログイン認証情報が必要であることを示している。CVE-2026-59764（WebUI経由のOSコマンドインジェクション、CWE-78）：個人向けのWRC-X3000GS3シリーズには、別のWebUIエンドポイントに同様のインジェクション脆弱性が存在する。CVSS 4.0スコアは8.6、CVSS 3.0スコアは7.2である。認証済みの攻撃者は、ルーターの管理インターフェースを通じて細工したリクエストを送信し、任意のOSコマンドを実行できる。CVE-2026-44387（WebUIにおける反射型クロスサイトスクリプティング、CWE-79）：法人向けアクセスポイント5機種は、管理インターフェースに存在する反射型XSS脆弱性の影響も受ける。CVSS 4.0スコアは5.1、CVSS 3.0スコアは5.2であり、単独での深刻度は比較的低い。しかし、本当の危険性は、この脆弱性がその後の攻撃を可能にする点にある。攻撃者がフィッシングメッセージを送り、WABの管理インターフェースにログインしている管理者に細工したリンクをクリックさせることができれば、XSSによって管理者のセッション情報を盗み、それを利用してCVE-2026-61376を悪用できる。この攻撃チェーンにより、ソーシャルエンジニアリングを起点として、OSレベルで機器を完全に制御できるようになる。■影響を受ける製品と適用すべきファームウェア法人向けアクセスポイント（CVE-2026-61376およびCVE-2026-44387）の対象モデルと脆弱なバージョンは以下の通りである。いずれも最新ファームウェアへのアップデートが必要となる。・WAB-M1775-PS（v2.1.9以前）・WAB-S1775（v2.1.9以前）・WAB-M2133（v2.0.5以前）・WAB-I1750-PS（v2.0.5以前）・WAB-S1167-PS（v2.0.5以前）個人向けWi-Fi 6ルーター（CVE-2026-59764）の対象モデルと脆弱なバージョンは以下の通りで、こちらも最新ファームウェアへのアップデートが必要である。・WRC-X3000GS3-B（v1.06以前）・WRC-X3000GS3A-B（v1.06以前）エレコムは注意喚起と併せてセキュリティ告知「20260728-01」を公開し、公式サポートサイトで更新済みファームウェアの提供を開始した。管理者は機器の管理コンソールにログインし、現在のファームウェアバージョンを上記の一覧と照合したうえで、直ちにアップデートを適用すべきである。WAB-M1775-PSは、エレコムの主力となる法人向けWi-Fi 6（IEEE 802.11ax）アクセスポイントである。合計最大1,775Mbpsの通信速度と最大256台の同時クライアント接続に対応し、PoEパススルーやWPA3-Enterprise認証を備えている。学校、オフィス、会議室、利用者の多い公共施設などを対象としているため、侵害された場合の影響は、そのアクセスポイントが接続するネットワークセグメント全体に及ぶ。WRC-X3000GS3シリーズは、最大2,402Mbps＋574Mbpsの通信速度と最大26台の同時接続に対応する、住宅・SOHO向けのWi-Fi 6ルーターである。■3人の独立した研究者が同じ時期に問題を発見3人の研究者がそれぞれ独立してエレコムのWebUIを調査し、同じ注意喚起サイクルの中で、日本の脆弱性情報の届出・調整プロセスに脆弱性を報告した。GMOサイバーセキュリティ byイエラエ株式会社の石井健太郎氏は、CVE-2026-44387（XSS脆弱性）をIPAに報告した。報告は、情報セキュリティ早期警戒パートナーシップに基づくベンダー調整のため、JPCERT/CCに引き継がれた。三井物産セキュアディレクション株式会社の田辺裕史氏は、同じIPA経由の仕組みを通じて、CVE-2026-59764（個人向けルーターのOSコマンドインジェクション脆弱性）を別途報告した。独立系研究者の川杉凛太郎氏は、CVE-2026-61376（法人向け機器の設定復元機能に存在するOSコマンドインジェクション脆弱性）をエレコムに直接報告した。エレコムは修正に向けた調整を完了した後、JVNで注意喚起を公開するためJPCERT/CCに通知した。3人の研究者が独立して同じベンダーのWebUIから3件の脆弱性を特定し、同じ時期に報告した事実は偶然ではない。これは、問題の性質を示す兆候である。複数のセキュリティ研究者が異なる攻撃経路から同じベンダーのWebUIを調べ、複数のOSコマンドインジェクションを含む脆弱性を発見した場合、根本的な問題はレビューをすり抜けた個別の欠陥ではなく、コードベース全体に及ぶ入力値の無害化、すなわちサニタイズの不足という構造的なパターンにある。■日本の構造化された脆弱性開示プロセス今回の注意喚起は、日本の協調的な脆弱性開示の枠組みが、脆弱性報告をどのように処理するかを示している。2004年からIPAとJPCERT/CCが共同運営し、ISO/IEC 29147に沿って運用されている情報セキュリティ早期警戒パートナーシップでは、構造化された引き継ぎプロセスが設けられている。研究者がIPAに脆弱性を届け出ると、JPCERT/CCがベンダーと調整して修正を進め、JVNが注意喚起とパッチを同時に公開する。この枠組みでは、ベンダーへの通知から一般公開まで、およそ45日間の調整期間を目安としているが、実際の期間は案件ごとに調整される。本日の3件のCVEのうち、CVE-2026-44387とCVE-2026-59764は、標準的なIPAの受付ルートをたどった。一方、CVE-2026-61376は、異なるものの同様に正式な経路で処理された。川杉氏がエレコムに直接報告し、エレコムが自社での修正対応を完了した後、JPCERT/CCと調整したものである。これは、この枠組みに用意されているベンダー主導の脆弱性開示の仕組みに当たる。今回の注意喚起は、日本の脆弱性対策情報データベース「JVN iPedia」に「JVNDB-2026-000103」として登録されている。■「認証が必要」が「低リスク」を意味しない理由2件のOSコマンドインジェクション脆弱性は、いずれもCVSS 4.0スコアが8.6であり、「緊急（Critical）」に当たる9.0以上ではなく、「重要（High）」の深刻度に分類される。この違いは、PR:H（攻撃に必要な権限：高）という評価項目によるものだ。つまり、インジェクション脆弱性を悪用するには、有効な管理者認証情報が必要となる。この区別は重要だが、見た目ほど安心できるものではない。ネットワーク機器に存在するOSコマンドインジェクションは、Webアプリケーションに存在する同種の脆弱性よりも本質的に危険である。Webアプリケーションの場合、OSコマンドインジェクションによって侵害されるのは単一のサーバーである。一方、Wi-Fiアクセスポイントやルーターの場合は、ネットワークインフラそのものが侵害される。攻撃者は機器を流れるすべての通信を傍受したり、悪意のある応答を挿入したり、永続的なバックドアを設置したり、機器をボットネットに組み込んだりできるようになる。学校やオフィスに設置された法人向けアクセスポイントが侵害されれば、接続されたネットワーク全体へ横展開するための足がかりとなる。PR:Hという評価にも文脈が必要である。法人向けWABシリーズについては、CVSS 8.6のOSコマンドインジェクション脆弱性と同じ注意喚起で、管理者の有効なセッションを盗むために利用できる反射型XSS脆弱性も公表されている。標的型攻撃を行う攻撃者がネットワーク管理者にフィッシングリンクを送り、管理者がWABの管理インターフェースにログインしている間にクリックするのを待ち、セッショントークンを取得すれば、PR:Hの評価で必要とされる管理者権限を事実上得たことになる。この2件の脆弱性は、互いに独立したリスク要因ではなく、1つの攻撃チェーンを構成する連続した段階である。■パッチ適用は有効だが、根本的な解決にはならない影響を受ける7機種へのパッチ適用は必須であり、直ちに実施すべきである。しかし、今回のファームウェアアップデートが修正するのは、本日公表されたCVEであり、こうした脆弱性を繰り返し生み出している根本的なアーキテクチャ上の問題ではない。本日の注意喚起は、2026年1月以降だけでも、エレコムのWebUI搭載製品におけるOSコマンドインジェクションを公表した3回目のJPCERT注意喚起サイクルとなる。その前には、2026年5月のJPCERT注意喚起「JVN#03037325」で、別のエレコム製品群を対象とした7件のCVEが公表された。この中には、CVSS 3.0スコアが9.8と評価された、認証不要のOSコマンドインジェクション脆弱性も含まれていた。さらに、NVDの記録には、2024年1月のCVE-2024-22372、2024年4月のC