店舗や小規模オフィスの無線LANルーターを、導入時のまま使っていないでしょうか。2026年10月28日、ヤマハの NWR100 に関する脆弱性2件が公表されました。対象は Rev.26.00.07以前、対策済みは Rev.26.00.08 です。管理画面のパスワードが設定されていても、それだけで今回の問題への対策にはなりません。
認証なし・利用者の操作なしで成立し得るOSコマンドインジェクションを含みます。外部公開したWeb GUIは特に優先して点検してください。初期設定ではインターネット側からWeb GUIへアクセスできませんが、無線LANなどから管理画面へ届く端末も確認対象です。更新は再起動を伴うため、通信停止と現地復旧の段取りを用意します。
本稿はJVNの勧告とヤマハのFAQを2026年10月28日16時（日本時間）に確認した内容です。確認した一次資料に実際の悪用や被害件数の記載はなく、実悪用の有無は未確認です。「悪用がない」と確認されたわけではありません。攻撃の再現や実機の設定変更は行っていません。
公表は10月28日、修正版の配布は7月1日
| 日付 | 確認できた出来事 | 意味 |
|---|---|---|
| 2026年7月1日 | Rev.26.00.08を配布 | 拠点間接続VPN機能の追加などを含む更新として公開済み |
| 2026年10月28日 | JVN・ヤマハが脆弱性2件を公表 | JVN新着欄の掲載時刻は14:15。修正済みの版と対象条件を確認できる |
| 2026年10月28日16時 | 本稿の確認時点 | 本件の実悪用・被害件数は確認資料では不明 |
7月の提供はヤマハの公式発表とリリースノート一覧で確認できます。今回のニュースは、修正版が今日初めて出たという話ではありません。古い版が残っていないかを、公開された脆弱性情報に照らして再点検する機会です。発見日や攻撃の開始日は、この日付から推測できません。
2件の問題：コマンド実行とCONFIG読み取りを分ける
| CVE | 問題と影響 | JVN掲載の基本値 |
|---|---|---|
| CVE-2026-97854 | OSコマンドインジェクション。特定のリクエストで任意のOSコマンドが実行される可能性 | CVSS v4.0：9.3／v3.1：9.8 |
| CVE-2026-109822 | 機微な情報の保存に関する不備。エクスポート機能で生成されたCONFIGが未認証で読み取られる可能性 | CVSS v4.0：7.1／v3.1：6.5 |
OSコマンドインジェクションとは、外から受け取るデータの扱いに問題があり、機器内部への命令として実行されてしまう種類の不具合です。JVNはCWE-78に分類しています。ヤマハは、不正なコードの実行、設定の変更、サービス停止などが起こり得ると説明しています。公表資料から、内部の具体的な関数や攻撃用リクエストまでは断定しません。
CONFIGは機器の設定を保存するファイルです。2件目で公式に示されている対象は、エクスポート機能で生成されたファイルです。「未認証なら、どの状態でもすべての設定を取得できる」と広げないようにします。どの秘密情報が実際に含まれたか、誰かが取得したかは、個別の環境と調査結果で確認する必要があります。
評価の発表元は上記JVNです。1件目のCVSS v4.0ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N、2件目は AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N とされています。PR:Nは攻撃に事前の権限を必要としない評価、UI:Nは利用者の操作不要、UI:Pは受動的な利用者操作を含む評価です。同じ「未認証」でも条件は同一ではありません。数値は被害発生確率ではなく、脆弱性の性質を整理する指標です。詳細はJVN本文を参照してください。
誰が対象か：ヤマハ製品すべてではない
| 機器・状態 | 本件の扱い | 担当者がすること |
|---|---|---|
| NWR100・Rev.26.00.07以前 | 対象 | 管理画面の公開範囲を確認し、対策版への更新を計画 |
| NWR100・Rev.26.00.08 | この2件の対策済み版 | 稼働中の表示と更新記録を照合。過去の侵害の有無は別途判断 |
| NWR100・版が不明 | 未確認 | 現地または保守担当へ確認。対象外とは判定しない |
| NWR100以外のヤマハルーター | メーカーFAQでは本件非該当 | この勧告だけを理由に一括更新しない。別の勧告は別に点検 |
メーカーはFAQで、初期状態ではインターネット側からWeb GUIへアクセスできないと説明しています。一方、ポート開放などで外部から到達できるようにしていれば攻撃を受ける可能性があり、無線LANに接続した端末も管理画面へ届けば問題になります。「インターネットに管理画面を出していない」と「どの端末からも攻撃できない」は別です。
棚卸しでは、回線名やSSIDだけでなく、機種名と実際のファームウェア表示を確認します。設計資料に書かれた予定版や、PCへダウンロード済みの更新ファイルは、機器で稼働している版の証拠にはなりません。
更新手順：再起動と更新後の確認までを作業にする
以下は公式のファームウェア更新手順を基にした運用の進め方です。読者が管理権限を持つ機器だけを対象にし、委託管理なら保守会社へ依頼してください。本稿のために実機へアクセスしたものではありません。
- 1機器台帳と現物を照合する。NWR100か、現在のファームウェアは何か、設置拠点・管理担当・停止可能時間を記録する。
- 2復旧手順と必要な設定の保全方法を決める。CONFIGの保管は管理者だけに限定し、共有リンクやLLMへアップロードしない。設定の保存を行う場合も、管理経路を限定したうえで扱う。
- 3権限のある管理端末からWeb GUIへ入り、［管理］→［保守］→［ファームウェアの更新］を開く。
- 4公式サイトから取得したファイルをPCから渡す方法、またはネットワーク経由で確認する方法を選ぶ。表示される機種・現行版・更新先を確認する。ネットワーク経由では利用規約の確認・同意を経て実行する。
- 5更新後は自動的に再起動される。接続が戻ったら再ログインし、稼働中のファームウェア表示がRev.26.00.08などの対策済み版になったことを確認する。ダウンロード完了だけで終了しない。
- 6業務に必要なインターネット接続・無線LAN・利用しているVPNなどを確認し、管理画面へのアクセス制限も見直す。結果・日時・担当者と復旧判断を記録する。
ファームウェアの確認位置はユーザーガイドにある「ウェルネスモニター」の「システム情報」を参照してください。更新中に遠隔接続が切れても復旧できるよう、現地連絡先を確保します。複数拠点なら、一斉に通信を止めず、業務影響を見ながら順に進めるのが運用上の判断です。
すぐ更新できない場合：Web GUIへの入口を狭める
メーカーの暫定策は、IPフィルターやWeb GUIのアクセス管理で、到達できる端末・接続元を制限することです。Web GUI技術資料では、アクセス元の制限は［管理］→［アクセス管理］→［各種サーバーの設定］から設定すると説明されています。
外部公開、拠点内LAN、無線LAN、保守用の接続経路を、それぞれ確認してください。制限を変える前に、管理担当自身が締め出されないかと復旧経路を確認します。設定の正解は拠点の構成に依存するため、汎用のコマンドを全機器へ一括投入する方法は示しません。
この制限は攻撃機会を減らす措置で、脆弱性そのものの修正ではありません。パスワードの変更だけで、認証前に成立し得る問題を解消したことにもなりません。更新できない理由、制限した範囲、残る到達経路、更新予定をセットで記録します。
更新できたことと、過去に侵害されていないことは別
修正版への更新は、過去に設定を読まれたり変更されたりしていないことを証明しません。外部にWeb GUIを公開していた、説明できない設定変更がある、保守記録と稼働状態が合わない場合は、更新対応と並行して管理記録や残存ログを保全し、保守窓口や社内の対応担当へ相談してください。これは編集上の点検提案であり、本件の被害が確認されたという報告ではありません。
ログが残っていない場合も「侵害なし」と決めず、確認できない期間として扱います。被害を疑う場面で、証拠を残す前に初期化することは避け、通信の保護と調査の順序を対応担当と決めます。設定情報の露出が疑われるときは、その内容に応じて認証情報の変更が必要かを評価します。
LLMには、機密設定ではなく点検用の台帳を渡す
LLMは、複数拠点の確認漏れや、機種・版が不明な行を拾う補助に使えます。CONFIG全文、パスワード、VPNの秘密鍵、公開IPや実機識別子を渡す必要はありません。拠点を仮名化し、機種、版、管理画面の公開有無、保守状況だけを整理します。
あなたはネットワーク機器の防御点検を補助する担当です。以下の仮名化した台帳と公式資料だけを基に、読み取り専用で整理してください。実機への接続、攻撃再現、ポート走査、設定変更、再起動は行わないでください。
対象の公式情報:https://jvn.jp/vu/JVNVU91027179/index.htmlhttps://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVNVU91027179.html
1. NWR100でRev.26.00.07以前、対策済み版、版不明、別機種を分ける。推測で不明を埋めない。2. Web GUIが外部公開されているか、LANや無線LANから届くか、各項目の未確認を示す。3. 対応の優先順と根拠、確認担当、更新予定、停止・復旧の準備を表にする。4. 更新後の稼働版確認と、過去の侵害調査を別の列にする。5. 公式記載・台帳の事実・推奨・未確認を分け、参照URLを付ける。6. CONFIG、認証情報、秘密鍵の提供を求めない。ログがないことを侵害なしの証拠にしない。
台帳（実値は入れず、必要なら拠点名を仮名化）:拠点仮名 / 機種 / 稼働版 / Web GUIの外部公開 / LAN・無線LANからの到達範囲 / 担当 / 更新予定 / 確認根拠点検プロンプトと空の記録表をダウンロードできます。店舗の一般利用者は、業務中に自己判断でルーターを再起動せず、機種が該当するかを管理担当へ連絡してください。担当者は「更新予定」だけでなく「稼働版を確認済み」まで返すと、対応漏れを防ぎやすくなります。
同日に公表されたYamaha LAN Monitor for Windowsのインストーラの問題は別件です。JVN#23695234ではVer.1.9.3以前のインストーラが対象、Ver.1.10.1で修正済みとされ、インストール済みソフトウェア自体には問題ないと説明されています。NWR100のファームウェア更新と混同せず、導入用ファイルの管理として別に確認してください。脆弱性対応の台帳づくりは連載の導入記事でも解説しています。