NECのUNIVERGE IX-R/IX-Vシリーズに認証不要の重大な脆弱性——CVSS最大9.4、今すぐ確認すべきこと

WAN 側から届いた通信が、ログイン画面を一度も通らずにルーターの中枢へ届いてしまう——NEC の UNIVERGE IX-R/IX-V シリーズに、そうした脆弱性(CVE-2026-16876)が見つかり、2026年8月21日に公開されました。WebGUI に細工したメッセージを送るだけで、認証なしに任意のコマンドを実行される可能性があり、脆弱性の深刻度を数値化する業界標準指標CVSS(Common Vulnerability Scoring System)v3.0 基本値は 9.4(クリティカル相当)。対象機種を使っている場合は、今日中にバージョンを確認してください。

脆弱性の内容:WebGUIが認証を素通りする

今回の脆弱性は JVN#81414813、CVE 番号は CVE-2026-16876 として登録されています。脆弱性の分類は CWE-306「重要な機能に対する認証の欠如」。名前のとおり、本来あるべき認証の仕組みそのものが欠けているという指摘です。攻撃者が対象製品の WebGUI に細工したメッセージを送信すると、認証を経ずに任意のコマンドを実行できる可能性があるとされています。

発見・報告したのは SOPHOS の Kojiro Enokida 氏で、IPA(情報処理推進機構)へ報告されました。その後 JPCERT/CC が情報セキュリティ早期警戒パートナーシップに基づいて開発者である NEC と調整し、今回の公開に至っています。

深刻度が高い理由:認証条件そのものが無い

脆弱性には、認証を突破される種類(盗まれたパスワードを使われる、ログイン後の別の不備を突かれる、など)と、認証の仕組み自体が存在しない種類があります。今回の脆弱性は後者です。攻撃者はアカウントもパスワードも必要とせず、WebGUI にメッセージを送るだけで成立します。認証をすり抜けたのではなく、認証という工程が最初から機能していない、という違いです。

CVSS v4.0 基本値は 9.3、CVSS v3.0 基本値は 9.4。いずれも 10 点満点中のクリティカル(最高位の深刻度区分)に該当します。

対象機種とバージョン

対象となる製品は IX-R2510、IX-R2520、IX-R2530、IX-R2610-4G、IX-V100 の 5 機種です。影響を受けるバージョンは、Ver1.1〜Ver1.3の全バージョン、Ver1.4.21〜Ver1.4.28の全バージョン、Ver1.5.23。バージョン系列をまたいで対象になっている点に注意が必要です。「うちは最新のマイナーバージョンを使っているから」という判断だけでは対象外と言い切れません。手元の機器のバージョン番号を、上記の範囲と照らし合わせて確認してください。

今すぐの対応:更新と回避策

NEC が案内している対策はソフトウェアアップデートです。Ver1.4.34 または Ver1.5.29 へ更新することで、この脆弱性は解消されます。

すぐにアップデートできない事情がある場合は、次の一時回避策のいずれかを取ります。

• WebGUI(HTTP(S)サーバー機能)そのものを停止する
• フィルタ機能で WebGUI への接続元を制限する
• 機器の IP アドレスを変更し、TCP ポート 80・443 を予想しにくい番号に変更する

まとめ

自社でルーターを直接管理していない場合、次にすべきことは委託先への一言確認です。「NEC の IX-R/IX-V シリーズを使っているか、使っているなら Ver1.4.34 か Ver1.5.29 になっているか」を尋ねるだけで足ります。WebGUI が外部(WAN側)からアクセスできる状態で放置されていないかも、あわせて確認しておく価値があります。今回の脆弱性が突いたのは高度な暗号解析ではなく、「そこにあるはずの鍵が最初から無かった」という単純な欠落だからです。

出典:

• JVN#81414813(日本語)
• JVN#81414813(英語)
• NEC公式セキュリティ情報ページ
• INTERNET Watch

※ この記事は AI を使用しています。Leadeas が自社開発した AI エージェント基盤で下書きを作成し、人間のレビューを経て公開しています。AI ネイティブ開発会社として自社の技術をそのまま実演する目的で、この手法を用いています。(詳しくは AI 利用ポリシー)