エレコム無線LAN機器7製品に脆弱性 法人向けAPが対象

エレコム製の無線LAN機器7製品に、深刻度の高い脆弱性が公表されました（JVN#56870912／2026年7月28日公開）。中心は法人向けWi-Fiアクセスポイント「WAB」シリーズ5製品で、家庭向けルーター2製品も含まれます。最大CVSS v4.0は8.6（OSコマンドインジェクション）。いずれもファームウェアを最新版に更新することで対策できます。

「うちは家庭向けルーターなんて使っていない」で読み飛ばすと危険な回です。対象の主役は、支店・会議室・倉庫の天井に取り付けたまま数年触っていない、あのPoEアクセスポイントだからです。

この記事でわかること

• 対象となる7製品と、修正済みファームウェアのバージョン
• 3件の脆弱性の中身と「ログイン可能な攻撃者」という前提の実際の重さ
• 設定バックアップの復元機能が攻撃面になるという論点
• 同じ機種が2か月半で2回対象になった事実と、情シスが取るべき運用上の構え

何が起きたのか

JPCERT/CCとIPAが運営する脆弱性情報ポータルJVNに、2026年7月28日、エレコム製無線LANルーターおよび無線アクセスポイントの複数の脆弱性が公表されました。報告者は石井健太郎氏（GMOサイバーセキュリティ）、田邊博文氏（三井物産セキュアディレクション）、川杉倫太郎氏の3名で、それぞれ別の脆弱性を届け出ています。

公表されたのは次の3件です。

反射型XSSの仕組みそのものについては、クロスサイトスクリプティング（XSS）とは？仕組みと対策もあわせてご覧ください。

対象製品と修正済みファームウェア

対象は法人向けアクセスポイント5製品と家庭向けルーター2製品の計7製品です。CVE-2026-59764はルーター2製品、CVE-2026-44387とCVE-2026-61376はアクセスポイント5製品が対象という切り分けになっています。

影響を受けるバージョンはJVNの記載、修正済みバージョンはエレコムの告知（2026年7月28日付）に基づく報道各社の記載を整理したものです。実機に適用する前に、必ずエレコム公式のダウンロードページで型番ごとの最新版を確認してください。同じ「WAB」でも型番ごとにバージョン系列が異なります。

バージョン番号の見た目に注意

現場で事故になりやすいポイントを一つ。WAB-M2133は「v2.0.5以前が対象、v2.0.13以降が修正版」です。2.0.5と2.0.13は文字列として比較すると大小が逆転します。台帳をスプレッドシートで管理していて「バージョンでソートして対象を洗い出す」と、2.0.13が2.0.5より古いものとして並びます。数値単位で比較するという当たり前の前提が、手作業の棚卸しでは意外と抜けます。

「ログイン可能な攻撃者」という前提はどれくらいのハードルか

OSコマンドインジェクション2件は、いずれも「製品にログイン可能な攻撃者」が前提です。認証前にいきなり乗っ取られる類のものではありません。ここだけ見ると「管理画面に入れる時点で終わっているのでは」と感じるかもしれません。

ただ、実務でこの前提がどれくらい守られているかは別問題です。現場でよくあるのは次の状態です。

• 管理画面のパスワードが初期値、または全拠点で共通。設置業者が一括設定したまま引き継がれている
• 管理画面が業務用VLANから素通しで到達できる。APの管理IPが一般の社内セグメントに置かれており、社内の任意の端末からログイン画面が見える
• 退職した情シス担当・委託業者のアカウントが残っている

この状態では「ログイン可能」という前提は攻撃者にとってほとんどコストになりません。そして重要なのは、認証を突破された後にできることの幅が変わる点です。設定を書き換えられるだけならSSIDの改ざんやDNS向き先の変更に留まりますが、任意のOSコマンドが通るならAP本体を足がかりにした常駐・内部偵察が視野に入ります。ネットワーク機器が踏み台になる構図は、Zyxel GS1900に脆弱性、LAN経由でOSコマンド実行の恐れやリコー複合機のSSHに脆弱性、内部への踏み台の恐れでも繰り返し見てきたパターンです。認証必須という条件は深刻度を下げる理由ではなく、管理画面の到達性と認証情報の管理が最後の砦になっているという事実の確認と受け取るのが妥当だと考えます。

設定の復元でコマンド実行 ― バックアップ運用が攻撃面になる

3件のうちCVE-2026-61376は「設定の復元におけるOSコマンドインジェクション」です。これは地味ですが示唆的です。

設定バックアップの取得と復元は、情シスが良かれと思ってやっている運用そのものです。機器交換時の移行、拠点展開時のテンプレート配布、障害時の切り戻し。そのために設定ファイルをファイルサーバやクラウドストレージに置いている組織は多いはずです。復元処理に細工した設定ファイルを食わせるとコマンドが実行されるとなると、そのバックアップ置き場の権限管理が、そのままネットワーク機器の乗っ取り経路になります。「設定ファイルは機密情報ではないから共有フォルダでいい」と整理している場合は、この機会に見直す価値があります。設定ファイルには管理者パスワードのハッシュや事前共有鍵が含まれることも多く、もともと機微な資産です。

現場目線の課題：天井のAPは台帳から消える

今回いちばん率直に感じるのは、対象が「更新されにくい機器の典型」だということです。

PC・サーバなら資産管理ツールが入っていてバージョンは自動で拾えます。一方、天井や壁に取り付けたPoEアクセスポイントは事情が違います。設置したのは数年前、担当したのは前任者か工事業者、管理画面のURLとパスワードは引き継ぎ資料のどこかにある（はず）。ラベルは貼ってあるが型番までは書かれていない。地方拠点のAPに至っては、そもそも何台あるか正確に言えない。

限られた人員で全社のIT資産を見ている情シスにとって、こうした「置いたら終わりの機器」まで目を届かせるのは、正論としては当然でも実務としてはかなり重い作業です。今回のように型番ベースで発表されると、まず自社にその型番があるかを答えられないところから始まる。この最初の一歩で止まってしまうのが、現場のもどかしいところです。

同じ機種が2か月半で2回 ― 「一度上げたから安心」は通用しない

もう一つ押さえておきたい事実があります。エレコム製無線LAN機器については、2026年5月12日にも別のJVN（JVN#03037325）で複数の脆弱性が公表されています。そのときの対象にはCVE-2026-25107（ハードコードされた暗号鍵の使用）やCVE-2026-40621（特定URLへのアクセスにおける認証欠如）などが含まれ、WAB-M1775-PSとWAB-S1775は5月・7月の両方で対象になっています。

これは製品を責める話ではなく、むしろ報告と修正が継続的に回っていることの表れです。実務者が読み取るべきは、「5月に上げたから今回は関係ない」という判断が成り立たない点です。ネットワーク機器のファームウェア更新は、1回のイベントではなく定常業務として棚卸しのサイクルに組み込む必要があります。四半期に一度、拠点の無線APの型番とバージョンを確認する程度の粒度でも、何もない状態とは大きく違います。

情シスはどうすべきか

個別の対策チェックリストを長々と並べるより、公的機関の指針に沿って手順を組むほうが確実です。優先順位だけ整理しておきます。

1. まず型番の洗い出し。全拠点でエレコム製の無線AP・ルーターを使っていないか確認し、上表の7型番に該当するかを判定します。該当したらファームウェアバージョンを確認します。
2. 該当機の更新。エレコム公式のダウンロードページから最新版を適用します。製品によって自動更新の可否が異なるため、手動更新が必要な機器を切り分けてください。
3. 更新までのつなぎとして管理画面の到達性を絞る。管理VLANへの分離、管理元IPの制限、WAN側・無線側からの管理アクセス無効化。今回は認証済みが前提の脆弱性なので、到達性の制限とパスワードの棚卸しが実質的な緩和策になります。
4. 設定バックアップの保管場所の権限を確認。前述のCVE-2026-61376を踏まえ、復元に使うファイルが誰でも差し替えられる場所に置かれていないか点検します。

資産の把握とパッチ適用を仕組みとして回すための考え方は、IPA「中小企業の情報セキュリティ対策ガイドライン」が実務に落としやすい形でまとまっています。まずはこちらを土台にして、自社の棚卸しサイクルを決めるのが近道です。自組織の外から見えている資産を把握するという観点では、EASMとは？外部攻撃対象領域管理の仕組みを解説、脆弱性対応をプロセス化する全体像は脆弱性管理とは？プロセスと情シスの進め方を解説も参考になります。

あわせて、地味ですが効くのが利用者側への働きかけです。在宅勤務者が自宅で使うルーターに、家庭向けの対象2製品が含まれている可能性もあります。「自宅のWi-Fiルーターのファームウェアを更新してください」という案内を社内報や定例の啓発に混ぜておく。IPA「対策のしおり」のようなエンドユーザ向け資料を配るだけでも、毎回ゼロから説明する手間は減らせます。

まとめ

1. エレコム製無線LAN機器7製品に脆弱性3件（JVN#56870912、2026年7月28日公開）。最大CVSS v4.0は8.6のOSコマンドインジェクションで、主対象は法人向けAPのWABシリーズ5製品。修正版ファームウェアが提供済みです。
2. いずれも認証済みが前提だが、それは安心材料ではない。初期パスワードの放置や管理画面の無制限な到達性があると前提は容易に満たされます。到達性の制限と認証情報の棚卸しが実質的な緩和策です。
3. 「置いたら終わり」の機器を定常の棚卸しに組み込む。同じ機種が2026年5月・7月と続けて対象になっており、単発対応では追いつきません。四半期ごとの型番・バージョン確認をルーチン化しましょう。

出典

• JVN#56870912「エレコム製無線LANルーターおよび無線アクセスポイントにおける複数の脆弱性（2026年7月）」（2026年7月28日公開）：https://jvn.jp/jp/JVN56870912/
• JVN#03037325「エレコム製無線LANルーターおよび無線アクセスポイントにおける複数の脆弱性（2026年5月）」（2026年5月12日公開）：https://jvn.jp/jp/JVN03037325/
• エレコム株式会社「無線LANルーターなど一部のネットワーク製品のセキュリティ向上のためのファームウェアアップデート実施のお願い」（2026年7月28日）：https://www.elecom.co.jp/news/security/20260728-01/
• Security NEXT「エレコム製無線LAN機器に複数脆弱性 – アップデートを提供」：https://www.security-next.com/188087
• INTERNET Watch「エレコムの法人向けWi-Fiアクセスポイントおよび家庭向けWi-Fiルーター7製品に脆弱性、最新版ファームウェアへの更新を」：https://internet.watch.impress.co.jp/docs/news/2128662.html
• IPA「中小企業の情報セキュリティ対策ガイドライン」：https://www.ipa.go.jp/security/guide/sme/index.html