TOTOLINK X2000Rに任意コード実行の弱点、修正版は未公表
TOTOLINK X2000Rの管理機能に、細工したHTTPリクエストで任意のコードを実行できてしまう弱点(CVE-2026-10131)が見つかりました。悪用には管理者レベルのログインが必要ですが、CVSSは9.1と高く、修正版の公表も確認できていません。該当機種を使っている組織は、管理画面を外部に公開していないかを確認し、管理パスワードを見直してください。
急ぎ度: 早めに
CVSSは9.1と高い一方で、悪用には高い権限での認証が必要で、実際の攻撃での悪用は公表されていません。ただし修正版が未公表のため、管理画面へのアクセス制限による予防策を早めに講じる必要があります。
関係があるか
TOTOLINK X2000Rを、拠点・店舗・小規模オフィス・在宅勤務環境などで使っている組織が対象です。特に、管理画面にインターネット側や広いネットワークからアクセスできる環境、管理パスワードが弱い環境は注意が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| TOTOLINK X2000R(boa の formPasswordSetup 機能) | TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327が影響を受けると報告されています。ほかの版が影響を受けるかどうかは公表されていません。 | 修正版は公表されていません。ベンダーの告知で確認してください。 |
確かめ方
- 1X2000Rの管理画面にログインし、ファームウェアの版表示が
TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327かどうかを確認します。 - 2資産管理台帳やネットワーク図で、X2000Rが拠点や店舗、検証環境に置かれていないかを洗い出します。
- 3ルーターの設定で、管理画面（Web管理）がインターネット側（WAN側）からアクセスできる状態になっていないかを確認します。
- 4管理者アカウントの初期パスワードをそのまま使っていないか、他の機器と同じパスワードを使い回していないかを確認します。
何が起きたか
TOTOLINK X2000Rというルーターの管理機能に、OSコマンドインジェクションと呼ばれる種類の弱点が見つかりました。管理画面からの入力の扱いに不備があるため、細工したHTTPリクエストを送ると、ルーター自身のOS上で攻撃者が望むコードを実行できてしまいます。深刻度はCVSS v3で9.1の「critical」です。
問題があるのは、機器のWebサーバーであるboaの formPasswordSetup という、パスワード設定に関わる機能です。入力された値が十分に検査されないままOSのコマンドの一部として使われることが原因で、弱点の分類はCWE-78（OSコマンドインジェクション）です。
影響を受けると報告されているのは、ファームウェア TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 です。この弱点はCisco Talosが報告しており、識別番号はTALOS-2026-2432です。公開日は2026-10-20で、修正版が出ているかどうかは公表されていません。
攻撃の流れ
-
1
管理者で認証
攻撃者がX2000Rの管理画面に、高い権限でログインします。
-
2
細工した要求
パスワード設定の機能に向けて、細工したHTTPリクエストを送ります。
-
3
コマンド実行
入力の検査が不十分なため、内容がOSのコマンドとして実行されます。
-
4
機器を掌握
ルーター上で任意のコードが動き、機器の設定や通信が攻撃者の影響下に置かれるおそれがあります。
どう悪用されるか
CVSSのベクトルは AV:N/AC:L/PR:H/UI:N/S:C で、ネットワーク越しに攻撃でき、手順の複雑さは低く、利用者の操作は不要です。一方で、管理者相当の高い権限での認証が前提になります。そのため、管理パスワードが推測されにくく、管理画面に外部から到達できない環境では、悪用される可能性は下がります。逆に、初期パスワードのままの機器や、パスワードを使い回している機器、管理画面が公開されている機器では、この前提が崩れやすくなります。
悪用に成功すると、機器上で任意のコードが実行され、機密性・完全性・可用性のすべてに高い影響が出ると評価されています。また、影響が機器の範囲を超えて及ぶ可能性を示す「スコープ変更」ありと評価されています。具体的には、設定の改ざんや通信への介入、内部ネットワークへの足がかりにされることなどが考えられます。ただし、実際の被害事例は公表されていません。
今すぐやること
-
1
対象機器と版を特定する
X2000Rを使っている拠点や設置場所を洗い出し、管理画面でファームウェアの版を確認します。影響が報告されているのは
TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327です。 -
2
管理画面への到達経路を絞る
インターネット側（WAN側）からの管理画面へのアクセスを無効にします。LAN側でも、管理用の端末や管理用のネットワークからだけ接続できるようにします。
-
3
管理パスワードを見直す
初期パスワードや使い回しのパスワードを、推測されにくい固有のものに変更します。認証が悪用の前提なので、これが当面の最も効果的な予防策になります。
-
4
ベンダーの告知を確認する
TOTOLINKの公式サイトやサポート窓口で、修正版ファームウェアが公開されているかを確認します。公開された場合は、検証したうえで速やかに適用します。
-
5
不審な兆候を点検する
設定が覚えのない内容に変わっていないか、見慣れない管理者アクセスや再起動がないかを確認します。不審な点があれば、設定の初期化と再構築を検討します。
すぐ更新できないとき
修正版が公表されていないため、管理画面にアクセスできる範囲を最小限にすることが基本です。具体的には、WAN側からの管理を無効にする、管理用の端末だけに接続を許可する、管理パスワードを強固なものに変更する、の3点です。これらを講じても業務上のリスクが許容できない場合は、サポートが継続している他機種への置き換えも検討してください。
背景
ルーターは、社内ネットワークとインターネットの境目にあり、通信の通り道を一手に担う機器です。ここを乗っ取られると、通信の盗み見や設定の書き換え、内部ネットワークへの侵入の足がかりにされるおそれがあります。小規模な拠点では、導入後にファームウェアの更新や管理パスワードの見直しが行われにくいことも、問題を大きくする要因です。
OSコマンドインジェクションは、入力された文字列が十分に検査されないままOSのコマンドの一部として使われることで起きる、古くから知られた種類の弱点です。家庭用・小規模向けのルーターでは、管理画面のWebサーバー部分でこの種の弱点が繰り返し報告されてきました。管理画面を外部に公開しない、パスワードを固有のものにする、といった基本的な対策が、被害を防ぐうえで有効とされています。
よくある質問
Q.ログインが必要なら、すぐに対応しなくても大丈夫ですか。
Q.この弱点はすでに攻撃に使われていますか。
Q.修正版はありますか。
まだ分かっていないこと
- 修正版ファームウェアの有無と、その版番号は公表されていません。
- 報告された版以外のX2000Rのファームウェアが影響を受けるかどうかは公表されていません。
- 実際の攻撃で悪用されたかどうか、また悪用の見込みを示す指標は公表されていません。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| totolink | Totolink | — | — |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
An OS command injection vulnerability exists in the boa formPasswordSetup functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.
出典: GitHub Security Advisories (Global) NVD GitHub Advisory
参照URL
- web nvd.nist.gov
- web talos-cna@cisco.com
- web github.com