Linksys E5350 1.0.00.037 の CVE-2026-121932: 管理画面の診断機能から認証なしで OS コマンドを実行される恐れ（CVSS 10.0、攻撃コード公開、ベンダー未応答）

Linksys のルーター E5350（ファームウェア 1.0.00.037）に、OS コマンドインジェクションの脆弱性 CVE-2026-121932 が公表されました。NVD への登録は 2026-11-04 で、状態は「Deferred」（NVD による詳しい分析は保留）です。

何が起きるか

• 管理画面の /wizard/apply.cgi が、診断機能（ping・traceroute）に渡される ping_ip と traceroute_ip の値を十分に確認しないまま OS のコマンドに組み込みます。
• 細工した値を送ると、ルーター上で任意のコマンドを実行できる恐れがあります。CVSS の評価では、ネットワーク越しに、ログインなし・利用者の操作なしで成立するとされています。
• 報告元の VulDB によると、攻撃コード（エクスプロイト）は公開されています。ベンダーには事前に連絡しましたが、返答はなかったとのことです。

数値と severity

• CVSS v3.1: 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。CVSS v4.0: 9.3。どちらも評価者は VulDB です。
• 認証不要で CVSS 9 以上のため、severity は critical とします。
• CISA の KEV への掲載、EPSS、実際の悪用の有無は未確認です。

対策

• ベンダーの修正版や回避策は、確認できた範囲では公表されていません（未確認）。
• 管理画面をインターネットや信頼できない側のネットワークに公開しない。外部からの管理（リモート管理）が有効なら無効にする。
• 家庭・拠点のネットワークで使っている場合は、修正版が出るまで機器の入れ替えも検討する（一般的な対応で、ベンダーの指示ではありません）。
• 同じ日に Linksys の別機種（WRT54GL、CVE-2026-121930・121931）でも似た診断機能のコマンドインジェクションが公表されています。こちらは管理者権限が必要な評価（CVSS 9.1）で、サポート終了の製品です。

未確認の点

• 影響を受ける版の範囲（NVD の記載は 1.0.00.037 のみ）。
• 修正版の有無、悪用の有無、EPSS、NVD の最終評価。
• 評価はすべて報告元の VulDB が付けたもので、ベンダーによる確認はありません。

出典

• NVD: CVE-2026-121932
• NVD: CVE-2026-121930・CVE-2026-121931（関連する別機種）