ASUS ルーターのファームウェアで、細工した機器名から root 権限でコマンドを実行されるおそれ（CVE-2026-84730）: 近隣の攻撃者・認証不要、CVSS v4.0 8.7、悪用の有無は未確認

ASUS のルーター用ファームウェア（ASUSWRT）にスタックバッファオーバーフロー（CWE-121）があるとして、CVE-2026-84730 が 2026-11-04 に NVD に登録されました。登録元は ASUS 側の CNA です。

何が起きるか

• NVD の記載によると、細工した「機器名（device name）」を使って、認証のない近隣の攻撃者が root 権限で任意のコマンドを実行できるおそれがあります。
• 参照先の ASUS のセキュリティ勧告では、「ASUS Router AiCloud Feature」のセキュリティ更新の項目で扱われているとされています。AiCloud 機能との関係の詳細は、勧告を開いていないため未確認です。
• 攻撃元区分は「隣接（AV:A）」です。インターネットから直接ではなく、同じネットワークなど近い位置にいる攻撃者が前提です。

影響を受ける版

• NVD は ASUSWRT 3.0.0.4_386 系、3.0.0.4_388 系、3.0.0.6_102 系を影響ありとしています。
• 具体的なモデル名と、修正済みのファームウェアの版番号は NVD の記載からは分からず、未確認です。

数値と severity

• CVSS v4.0 は 8.7（HIGH）で、ベクターは AV:A/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H です。評価元は登録元の CNA で、CVSS v3 の値は付いていません。
• 認証は不要で root 権限の実行に至りますが、隣接ネットワークが前提で CVSS 9 未満のため、critical にはせず severity は high とします。
• NVD の状態は「Received」で、NVD 自身の評価はまだありません。FIRST の EPSS はデータなし、CISA の KEV には載っていません（2026-11-04 時点）。

対策

• ASUS のセキュリティ勧告を確認し、お使いのモデルが対象か、修正済みファームウェアが出ているかを確かめてください（修正版の有無は未確認）。
• 当面の備えとして、ルーターのファームウェアを最新にする、信頼できない機器を LAN や Wi-Fi に接続させない、ゲスト用ネットワークを分離する、AiCloud など使っていない機能を無効にする、といった対応が考えられます。

未確認の点

• 影響を受けるモデルの一覧と、修正済みファームウェアの版。
• 機器名がどの経路（DHCP、ネットワーク上の機器検出など）で渡されるか、AiCloud 機能との正確な関係。
• 悪用の有無、攻撃コードの流通。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-84730
• ASUS Security Advisory（NVD の参照先。未開封）
• FIRST EPSS（データなし）、CISA KEV（掲載なし）