ネットワーク / 続報

10月30日に「ヤマハのルーターは対象外」とお伝えしました。あれは別件で、無線LANルーター「NWR100」には10月28日付で脆弱性の情報が出ています。

掲載 2026.11.02情報確認 2026.11.02出来事・発表 2026.10.28

10月30日に、ヤマハのUTM機器「UTX200／UTX100」の脆弱性を取り上げ、そのときに「ヤマハのルーターは対象外です」と書きました。この記述自体はUTXの件について正しいのですが、同じ10月28日に、無線LANルーター「NWR100」について別の脆弱性が公表されています。こちらは対象です。混同しやすいので、何が別件なのかを整理します。対策はファームウェアをRev.26.00.08以降にすることで、この版自体は2026年7月に出ていたものです。

公表されたのは2件の脆弱性

JVNとヤマハのFAQで10月28日に公表され、翌29日に更新されています。対象は無線LANルーターNWR100のファームウェアRev.26.00.07およびそれ以前です。1件目はOSコマンドインジェクション（CVE-2026-97854）で、特定のリクエストを送られると任意のOSコマンドを実行されるおそれがあります。CVSS v3.1の基本値は9.8と高い部類です。2件目（CVE-2026-109822）は、エクスポート機能で作ったCONFIGファイルを認証なしで読み取られるおそれで、同6.5です。

前回の記事との関係

10月30日に扱ったUTX200／UTX100の脆弱性と、今回のNWR100の脆弱性は、公表日が同じだけで別のものです。ヤマハのFAQには、今回の件について「他のヤマハ製ルーター、UTM製品、無線LANアクセスポイント、L2／L3スイッチは対象外」と書かれています。ヤマハ製だから危ない、という話ではなく、型番がNWR100かどうかで決まります。なお同じ10月28日には、YMS-VPN8／YMS-VPN8-CPとYamaha LAN Monitor for Windowsについても別の脆弱性が公表されています。

どこから届く話なのか

ヤマハのFAQによれば、設定画面（Web GUI）は初期状態ではインターネット側から開けません。狙われうるのは、ポート開放などでWeb GUIを外に出している場合です。一方、無線LANや院内LANにつながった端末からは設定画面に届きます。待合室の無線LANを同じ機器で出している施設では、ここが実質的な入り口になります。ただし、その場で無線LANを止める必要はありません。

自院で確認すること

まず、院内のネットワーク機器にNWR100があるかどうかです。無ければここで終わりです。ある場合は、ファームウェアのリビジョンがRev.26.00.08以降かを確認してください。この版は2026年7月に公開されていたもので、リリースノートに脆弱性対応の記載が追記されたのが10月です。夏以降に更新していれば、すでに直っている可能性があります。すぐ更新できない場合、ヤマハはWeb GUIにアクセスできる端末や接続元をIPアドレスで絞ることを挙げていますが、これは回避策であって修正ではありません。更新中は通信が一時的に切れますので、実施の時間帯も含めて保守の担当者にご相談ください。機器の棚卸しや更新の段取りは、アイジェイネットでもご相談を承っています。

出典・確認元

情報は確認日時点の内容です。最新の対象製品・手順・条件はリンク先でご確認ください。

編集方針・訂正について

環境によって必要な対応は異なります。
自分の環境について相談する ↗

← 一覧に戻る