ヤマハNWR100に脆弱性。管理画面の公開範囲と更新を確認
バグマゲドン対策委員会 · 日本語編集版 · 内容更新 2026-10-29
無線LANルーターNWR100で、不正な命令の実行や設定情報の読み取りにつながる2件の不備が公表されました。修正版はRev.26.00.08です。
日本語要約・編集：バグマゲドン対策委員会。本記事公開：2026-10-29 / 本記事更新：2026-10-29 / 原文確認：2026-10-29。
原文発行：JVN / ヤマハ / 原文公表：2026-10-28。
対象と影響
店舗や事務所でNWR100を使う場合は確認対象です。初期設定では管理画面をインターネット側から開けませんが、管理画面に届く社内・無線LAN端末からも影響を受ける可能性があります。
自社で確認すること
ネットワークの保守担当へ、NWR100の更新とWeb管理画面へのアクセス制限を確認する。
- NWR100のファームウェアを確認する。Rev.26.00.07以前が対象で、ほかのヤマハルーターは本件の対象外。
- ヤマハの案内に従い、修正を含むRev.26.00.08以降へ更新する。
- すぐ更新できない場合は、IPフィルターとWeb GUIの設定で接続元を限定する。管理画面を外部公開していないことだけで、社内からの影響まで除外しない。
攻撃の流れと防御の確認箇所
管理画面への接続 → 認証前の不備 → 機器上の命令実行・設定情報の露出
防御の確認箇所：NWR100更新・管理画面への接続元制限
優先度の考え方
利用中なら優先確認。機器上の命令実行に至る可能性があり、利用中の機器を優先確認。JVNのCVSS4.0基本値は9.3・7.1で、編集上の優先度とは区別しています。実際の侵害を確認したという記事ではありません。
優先度は編集上の判断です。公式CVSSや、自社への実際の影響の確定とは区別してください。
原文で言及されたCVE
報告の範囲
対象版NWR100の利用環境。発信元を示し、被害発生地域や攻撃元を示すものではありません。
原文と確認箇所
JVNの公開・最終更新日とヤマハFAQの更新履歴はいずれも2026/10/28。両本文で影響版と修正版、命令実行・CONFIG読み取りを確認。ヤマハFAQでNWR100のみ対象、初期設定の外部Web GUI遮断、GUIへ届く無線LAN端末からの影響を確認。
海外の公的機関・ベンダーの一次情報を確認し、日本の小規模企業向けに独自要約。全文翻訳ではありません。対策優先度と小規模企業への影響は編集上の判断で、公式CVSSとは区別しています。