2026年10月28日、JPCERT/CCとIPAが運営する脆弱性情報サイト「JVN」が、ヤマハ製の無線LANルーター「NWR100」に見つかった脆弱性2件を公表した（JVNVU#91027179）。対象はファームウェア（機器の中で動くソフト）のRev.26.00.07とそれ以前のバージョンだ。修正版のRev.26.00.08はすでに出ており、手元の機器のバージョンを確認して、古ければ更新するのが基本の対応になる。
NWR100は、小規模な拠点や店舗、オフィス向けの無線LANルーターだ。2件のうち深刻度が高いほうは、共通脆弱性評価システム（CVSS）で10点満点中9.8とされている。
NWR100で見つかった2件の脆弱性
報告したのは、株式会社ゼロゼロワンの早川宙也氏。JPCERT/CCがヤマハとの調整を行い、公表に至った。2件は性質も深刻度も異なる。1件ずつ見ていく。
遠隔で命令を実行される
1件目は、「OSコマンドインジェクション」と呼ばれるタイプだ（CVE-2026-97854）。外部から特定のリクエストを送ることで、ルーターに任意の命令を実行させられる可能性がある、という穴だ。
深刻度は、CVSS v3.1で基本値9.8。評価の内訳では、ネットワーク越しに攻撃でき、攻撃に特別な条件が要らず、パスワードなどの認証も不要で、利用者の操作も必要ないとされている。この条件がそろうため、点数が高くなっている。
なお、ここでいう「ネットワーク越し」が、インターネット側からなのか、社内のネットワーク内からなのかは、JVNの情報では示されていない。自社の機器でWeb GUI（ルーターの設定画面）にどこからアクセスできる設定になっているかは、更新と合わせて確認しておきたい。
また、この評価は脆弱性の性質を示すものだ。JVNの情報には、実際に悪用されたとする記載はない。
設定ファイルが読まれる
2件目は、「保存された機微な情報に対するアクセス権設定の不備」と分類される（CVE-2026-109822）。ルーターの設定内容を書き出す「CONFIGファイルのエクスポート機能」で作られたCONFIGファイルが、認証なしで読み取られる可能性がある、というものだ。
深刻度はCVSS v3.1で基本値6.5。1件目の9.8よりは低い。評価には、利用者側の操作が必要になる条件（UI:R）が含まれている。JVNの情報では、この2件を組み合わせた攻撃には触れていない。
Rev.26.00.08への更新と暫定対策
Rev.26.00.08へ更新
ヤマハは、この2件を修正したファームウェア「Rev.26.00.08」を提供している。対象になるのはRev.26.00.07とそれ以前を使っている機器で、JVNは開発者の情報をもとに最新版へアップデートすることを対策として示している。
手順は次の順になる。
- ルーターの設定画面（Web GUI）で、いま動いているファームウェアのバージョンを確認する
- Rev.26.00.07以前であれば、Rev.26.00.08へ更新する
- 更新後に、バージョンが切り替わったことを確かめる
画面ごとの具体的な操作は、ヤマハの公式情報で確認してほしい。複数の拠点や店舗でNWR100を使っている場合は、拠点ごとに1台ずつ確かめる必要がある。
更新できない場合の対策
営業時間中は止められない、遠隔地にあって作業に行けないなど、すぐに更新できない事情もある。その間の暫定策として、JVNはWeb GUIへのアクセスを制限する方法を挙げている。
Web GUIに触れられる端末を限れば、設定画面に届く経路を絞れる。具体的には、アクセスを許可する端末を限定する設定や、送信元IPアドレス（通信の出どころを示す住所のようなもの）で通すものを絞るフィルター設定を行う。
ただし、これは更新までのつなぎにすぎない。穴そのものをふさぐ対策ではなく、本筋はあくまでRev.26.00.08への更新だ。
なお、過去にCONFIGファイルをエクスポートしたことがある場合の扱いは、JVNの情報に記載がない。該当する場合は、ヤマハの公式情報を確認してほしい。
出典
- JVN 脆弱性情報 JVNVU#91027179（2026年10月28日）: https://jvn.jp/vu/JVNVU91027179/
