Qihoo 360 M5ルーターに脆弱性、攻撃コード公開
Qihoo 360 Whole Home Router M5の4.0.17.1566に、認証情報が機器へ埋め込まれた脆弱性が見つかりました。攻撃コードが公開され修正版も確認できないため、使っている組織は外部からの到達を断ち、機器の交換も検討してください。
急ぎ度: 至急
CVSS v3・v4ともに満点の10で、認証なしにネットワーク経由で悪用でき、攻撃コードが公開済みで、修正版の案内も確認できないためです。
関係があるか
Qihoo 360 Whole Home Router M5を、拠点・店舗・小規模オフィス・在宅勤務の回線で使っている環境が対象です。外部のネットワークから機器に届く状態だと、リスクはさらに高くなります。
| 製品 | 影響を受ける版 | 修正版 |
|---|---|---|
| Qihoo 360 Whole Home Router M5 | 4.0.17.1566 | 修正版は確認できていません。ベンダーの告知を確認してください |
確かめ方
- 1資産台帳や購買履歴で、Qihoo 360製のルーターが社内や従業員の在宅環境にないかを探します。
- 2管理画面のシステム情報で、ファームウェアの版が4.0.17.1566かどうかを確認します。ほかの版が影響を受けるかは告知で確認できていないため、M5であれば版を問わず対象として扱うのが安全です。
- 3ポート転送・リモート管理・UPnPなど、外部に向けて開いている設定がないかを確認します。
何が起きたか
Qihoo 360 Whole Home Router M5に、機器の内部へ固定の認証情報が埋め込まれている脆弱性が見つかりました。この情報を使われると、ネットワーク越しに機器へ入り込まれるおそれがあります。
場所は、起動時に実行されるスクリプト/etc/init.d/mptのHome関数です。分類はCWE-798（ハードコードされた認証情報）とCWE-259（ハードコードされたパスワード）で、公表は2026年11月4日です。
この脆弱性を発見した側は、公表前の早い時期にベンダーへ連絡しましたが、返答はなかったと説明しています。攻撃コードはすでに公開されています。
攻撃の流れ
-
1
機器に到達
ネットワーク経由でルーターの該当機能に接続できる状態になります。
-
2
固定値で認証
機器に埋め込まれた認証情報が使われ、正規の利用者でなくても認証を通されます。
-
3
機器を掌握
設定の読み書きや機器の停止など、管理者に近い操作が可能になるおそれがあります。
-
4
内側へ波及
ルーター配下の通信の傍受や、社内・家庭内の端末への攻撃に踏み台として使われます。
どう悪用されるか
攻撃にアカウントは要らず、利用者の操作も必要ありません。ネットワーク越しに機器へ届けば、難しい条件なしに成立します。CVSSの評価が最高の10になっているのは、そのためです。
悪用されると、機器内のデータの読み取り、設定の書き換え、機能の停止が起こりえます。影響はルーター単体にとどまらず、配下のネットワークにも及ぶと評価されています。
今すぐやること
-
1
外部から機器に届かない状態にする
ポート転送・リモート管理・UPnPなど、外部に開いている設定を止めます。上流のファイアウォールで、ルーター宛ての外部からの通信も遮断します。
-
2
該当機器を洗い出し、版を確認する
拠点・店舗・従業員の在宅回線を含めて、Qihoo 360 Whole Home Router M5の有無を調べ、ファームウェアの版を控えます。
-
3
ルーターの交換を計画する
ベンダーが修正版を出していない以上、設定変更だけでは根本的な対策になりません。業務で使う回線は、修正版を継続して出している別のルーターへの交換を優先して検討します。
-
4
侵害の跡がないか確認する
攻撃コードが公開されているため、すでに触られている可能性も考えます。見覚えのない管理者設定、DNSの書き換え、不明なポート転送、再起動の頻発がないかを確認します。見つかったら、機器の初期化と、配下の端末のパスワード変更まで進めます。
-
5
ベンダーの告知を定期的に見る
修正版や回避策が出た場合に備え、Qihoo 360の告知と、脆弱性データベースの該当ページを確認します。
修正版がないあいだのつなぎ
修正版が確認できない間は、機器へ届く経路を減らすことが唯一のつなぎになります。外部からの管理アクセスと、外部公開しているサービスを止めます。重要な通信を扱う拠点では、このルーターを境界に置かず、別のファイアウォールの内側に置いて到達範囲を絞ります。ただし、LAN内の端末からの攻撃までは防げないため、交換までの一時的な措置と考えてください。
背景
Whole Home Routerは、家庭や小規模な拠点のネットワークの出入り口に置くルーターです。社内の端末と外部のインターネットのあいだを通る通信がすべて集まるため、乗っ取られると、通信の傍受やDNSの書き換えなど、配下の端末に直接響きます。
固定の認証情報は、利用者が自分で設定するパスワードと違って、機器ごとに変えられない値であることがほとんどです。ファームウェアを入手できる人なら、同じ値を読み取れる性質もあります。今回は起動用のスクリプトにそれが入っているとされており、設定画面でパスワードを変えるだけでは防げない可能性があります。
よくある質問
Q.管理画面のパスワードを強いものに変えれば防げますか。
Q.在宅勤務の従業員が家庭で使っているルーターも対象になりますか。
まだ分かっていないこと
- ベンダーが修正版を出す予定があるかどうかは分かっていません。
- 実際の攻撃で悪用された事例が確認されているかどうかは、現時点で示されていません。
この記事は、取得元の公開情報をもとに、人が監修しながらAIを活用して執筆しています。執筆と監修は佐々木 航が担い、公開したあとも人が内容を確認しています。誤りに気づいたときは直し、記事の末尾に訂正の行を残します。対応を決める前に、下の原文と参照先も確認してください。
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A vulnerability was identified in Qihoo 360 Whole Home Router M5 4.0.17.1566. This issue affects the function Home of the file /etc/init.d/mpt of the component Boot Script. The manipulation leads to hard-coded credentials. Remote exploitation of the attack is possible. The exploit is publicly available and might be used. The vendor was contacted early about this disclosure but did not respond in any way.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web vuldb.com
- web gist.github.com
- web nvd.nist.gov
- web github.com