ASUS ルーターのファームウェアで、細工したパケットにより境界外書き込み・サービス停止のおそれ（CVE-2026-84729）: 近隣の攻撃者・認証不要、CVSS v4.0 7.2、悪用の有無は未確認

ASUS のルーター用ファームウェアに境界外書き込み（CWE-787）があるとして、CVE-2026-84729 が 2026-11-04 に NVD に登録されました。登録元は ASUS 側の CNA です。同日に登録された CVE-2026-84730（機器名のスタックバッファオーバーフロー）とは別の番号です。

何が起きるか

• NVD の記載によると、認証のない近隣の攻撃者が細工したパケットを送ることで、想定された領域の外へデータを書き込める、またはサービス拒否（DoS）を起こせるおそれがあります。
• 攻撃元区分は「隣接（AV:A）」です。インターネットから直接ではなく、同じネットワークなど近い位置にいる攻撃者が前提です。
• コード実行に至るかどうかは NVD の記載からは分かりません（未確認）。ベクターは機密性への影響なし、完全性・可用性への影響が高、としています。

影響を受ける版

• NVD の記載は「certain ASUS Router firmware」（特定の ASUS ルーターのファームウェア）のみで、具体的なモデル名・版番号は載っていません。ASUS のセキュリティ勧告の「Security Update for ASUS Router Firmware」の項目を参照するよう案内されています。モデルの一覧と修正済みの版は未確認です。

数値と severity

• CVSS v4.0 は 7.2（HIGH）で、ベクターは AV:A/AC:L/AT:N/PR:N/UI:N/VC:N/VI:H/VA:H です。評価元は登録元の CNA で、CVSS v3 の値は付いていません。
• 認証は不要ですが、隣接ネットワークが前提で CVSS 9 未満のため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• ASUS のセキュリティ勧告を確認し、お使いのモデルが対象か、修正済みファームウェアが出ているかを確かめてください（修正版の有無は未確認）。
• 当面の備えとして、ルーターのファームウェアを最新にする、信頼できない機器を LAN や Wi-Fi に接続させない、ゲスト用ネットワークを分離する、といった対応が考えられます。

未確認の点

• 影響を受けるモデルの一覧と、修正済みファームウェアの版。
• 問題のあるサービス（処理するパケットの種類）と、コード実行に至る可能性。
• 悪用の有無、攻撃コードの流通。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-84729
• ASUS Security Advisory（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）