ソフトバンクが提供する家庭向けの据え置き型ルーター「Airターミナル6」に、「OSコマンドインジェクション」と呼ばれる種類の脆弱性があることが分かった。国内の脆弱性対策情報サイト「JVN」が11月12日、「JVN#64740097」として公表した。機器のウェブ管理画面にログインできる人が、最高の権限で任意のコマンドを実行できるおそれがある。同社は修正済みのファームウェア（機器を動かすソフト）をすでに配布しており、利用者が自分で何かをする必要は無いと説明している。

対象はv1.01.80以前、修正版は配布済み

JVNによると、影響を受けるのはAirターミナル6のv1.01.80とそれ以前の版だ。脆弱性には国際的な識別番号「CVE-2026-101107」が付いた。

対策についてJVNは、開発者であるソフトバンクの説明として、修正済みのファームウェアは展開済みだと記している。インターネットにつながっていない機器も、つないだ時点で自動的に修正版が適用される。このため利用者の対応は不要だという。JVNの公表には、この脆弱性が実際の攻撃に悪用されたとの記載は無い。

JVNの開発者の欄では、ソフトバンクは「該当製品あり」となっているが、同社自身の告知ページは示されていない。同社のSoftBank Airの製品ページと企業サイトのお知らせ一覧にも、12日夕方の時点でこの件の告知は見当たらなかった。

Airターミナル6は、工事をせずに置くだけで使えるSoftBank Air向けの機器だ。同社の製品ページによると、無線LANの新しい規格「Wi-Fi 7」に対応し、5Gでは一部の地域で下りの最大通信速度2.7Gbpsを出せる。SoftBank Airで5Gを使うには、Airターミナル5か6が必要になる。直営店の販売価格は9万5040円で、48回の分割払いなら月1980円となる。

「OSコマンドインジェクション」とは

OSコマンドインジェクションは、外から受け取った文字列を、機器の基本ソフト（OS）への命令として実行してしまう不具合を指す。JVNは国際的な弱点の分類で「CWE-78」にあたるとしている。2026年10月には、国産のウェブ防御ソフトでも同じ種類の欠陥が見つかり、開発元が悪用を確認していた（国産WAF「SiteGuard」に悪用確認の欠陥　サーバーを最高権限で操られるおそれ）。

JVNが示す影響は、管理画面にログインできる人によって「root権限」で任意のコマンドが実行される可能性がある、というものだ。rootはLinuxなどのOSで、すべての操作を許される最高の権限を指す。ルーターの設定画面は本来、決められた設定項目しか変えられないが、この欠陥を突けば、画面に用意されていない操作まで機器の中で実行できることになる。

深刻度は「重要」、条件は同じネットワークとログイン

JVNは、脆弱性の深刻度を表す共通の評価基準「CVSS」で、第3版の基本値を10点満点の8.0、第4版の基本値を8.6とした。情報処理推進機構（IPA）の解説では、第3版の深刻度は9.0〜10.0が「緊急」、7.0〜8.9が「重要」、4.0〜6.9が「警告」で、8.0は上から2番目の「重要」にあたる。

評価の内訳を見ると、攻撃の条件がわかる。攻撃の経路は「隣接」とされた。IPAの解説によると、隣接は対象を隣接するネットワークから攻撃する必要がある場合を指し、例として同じIPサブネットや無線LANを挙げている。インターネットのどこからでも狙えるのではなく、同じ家庭内のネットワークにつながった端末からの攻撃を想定した評価だ。

攻撃者に必要な権限は「低」で、IPAはこれを、対象に対する基本的な権限を持っていればよい場合と説明している。この件では、管理画面にログインできることがそれにあたる。利用者の操作は不要とされ、悪用されると情報の漏洩、改ざん、機器の停止のいずれについても影響は「高」と評価された。

家庭用ルーターが狙われる理由と、報告の経路

IPAは2025年10月31日、家庭用ルーターやIoTルーターについて注意を呼びかけている。深刻な不具合や設定の不備が多数報告されており、悪用されると家庭内のネットワークへ侵入されるだけでなく、機器が乗っ取られ、他者を攻撃する際の中継拠点（ORB）として使われるおそれがあるという。

対策としてIPAは、初期設定のような推測されやすいパスワードを避けて変えること、機器の開発元が出す修正を速やかに適用すること、サポートが終わった古い機器は買い替えか廃棄を検討することを挙げている。今回のAirターミナル6は修正版が自動で適用されるが、管理画面へのログインが攻撃の条件になっている以上、そのパスワードを推測されにくいものにしておくことは、IPAの注意喚起と同じ方向の備えになる。

今回の脆弱性は、国の制度に沿って届け出られた。IPAによると、経済産業省の告示に基づく「情報セキュリティ早期警戒パートナーシップ」は2004年7月8日から運用されている。発見者がIPAに届け出て、JPCERTコーディネーションセンター（JPCERT/CC）が製品の開発者と修正や公表の時期を調整する仕組みだ。

JVNによると、この件もIPAへの報告を受けてJPCERT/CCがソフトバンクと調整した。報告者として4人の名前が載っている。