Linksys E5350 1.0.00.037 の CVE-2026-121933: 管理画面の設定ウィザードで認証が欠けている恐れ（CVSS 9.3、攻撃コード公開、ベンダー未応答）

Linksys のルーター E5350（ファームウェア 1.0.00.037）に、認証の欠落（CWE-287・CWE-306）の脆弱性 CVE-2026-121933 が公表されました。NVD への登録は 2026-11-04 で、NVD 自身の評価はまだありません。

何が起きるか

• 管理画面の設定ウィザード（Setup Wizard）にある /wizard/apply.cgi の save_settings 関数で、引数 wizard_router_pwd を操作すると、認証を経ずに処理が進む恐れがあります。引数名から、ルーターの管理パスワードの設定に関わる箇所とみられますが、具体的な影響は確認できていません（未確認）。
• 攻撃はネットワーク越しに始められ、ログインや利用者の操作は不要と評価されています。
• NVD の記載によると、攻撃コード（エクスプロイト）は公開済みです。ベンダーには早い段階で連絡したものの、返答はなかったとされています。

数値と severity

• CVSS v4.0: 9.3（CRITICAL）。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N で、評価者は NVD に載った第三者（Secondary）です。
• 認証不要で CVSS 9 以上のため、severity は critical とします。
• CISA の KEV への掲載はありません（確認時点）。EPSS は未算出で、実際の悪用の有無は未確認です。

対策

• ベンダーの修正版や回避策は、確認できた範囲では公表されていません（未確認）。
• 管理画面をインターネットや信頼できない側のネットワークに公開しない。外部からの管理（リモート管理）が有効なら無効にする。
• 管理画面のパスワードが勝手に変えられていないか、設定が見覚えのない状態になっていないかを確認する（一般的な対応で、ベンダーの指示ではありません）。
• 修正版が出るまで、機器の入れ替えも検討する。
• 同じ機種では、同じ /wizard/apply.cgi の診断機能の OS コマンドインジェクション CVE-2026-121932 も公表されています（別記事）。

未確認の点

• 影響を受ける版の範囲（NVD の記載は 1.0.00.037 のみ）。
• 認証欠落で具体的に何ができるか（管理パスワードの書き換えなど）。
• 修正版の有無、悪用の有無、EPSS、NVD の最終評価。
• 参照先の VulDB の本文は開いておらず、攻撃コードの中身も確認していません。

出典

• NVD: CVE-2026-121933
• NVD: CVE-2026-121932（同じ機種の別の欠陥）