Linksys E5600（1.1.0.26）の mesh_login.cgi に認証の不備（CVE-2026-121615）: CVSS v4.0 9.3、認証不要、公開済みの手法あり、サポート終了品で修正版は未確認

Linksys E5600 の 1.1.0.26 で、/cgi-bin/mesh_login.cgi（ログイン処理）に認証の不備があるとして、CVE-2026-121615 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。

何が起きるか

• 欠陥があるのは、ログイン処理の部品にあたる /cgi-bin/mesh_login.cgi です。NVD の記載では、具体的な関数は「不明」とされています。
• 操作によって、認証が正しく行われない状態になります（NVD の分類は CWE-287、不適切な認証）。これでログインを回避できるのか、どこまで操作できるのかは、NVD の記載からは分かりません。
• NVD は「リモートから攻撃できる」としています。
• NVD によると、攻撃の手法は公開されています。また、ベンダーには早い段階で連絡したものの、応答はなかったとされています。
• NVD には「この問題は、提供元がすでにサポートを終えた製品だけに当てはまる」とも書かれています。修正版が出る見込みは低いと考えられます。

数値と severity

• CVSS v4.0 は 9.3（CRITICAL）で、評価元は VulDB です。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから、権限も利用者の操作も不要です。攻撃コードの成熟度は概念実証（E:P）です。VulDB は CVSS v3.1 でも 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）を付けています。
• NVD の状態は Deferred で、NVD 自身の評価はまだありません。
• 認証が不要で CVSS が 9 以上のため、severity は critical とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• 提供元（Linksys）の案内を確かめ、修正版が出ていれば更新する。修正版の有無は本稿では確認していません。サポートが終わっているため、出ない可能性があります。
• ルーターの管理画面や管理用の通信を、インターネット側に公開しない。
• 対象機種を使っている場合は、設定や管理用アカウントに身に覚えのない変更がないか確かめる。
• 修正版が出ない場合は、サポート中の機種への買い替えを検討する。

未確認の点

• 認証の不備の具体的な中身（ログインの回避か、別の経路か）と、攻撃が成功した場合の具体的な影響。
• 修正版の有無と番号。1.1.0.26 以外の版や他機種への影響。
• 実際に悪用されているか、規模はどの程度か。
• 公開されている手法の中身。参照先の VulDB と公開資料（GitHub）は、本稿では開いていません。
• NVD の最終評価と EPSS。

出典

• NVD: CVE-2026-121615
• VulDB 430463（NVD の参照先。未開封）
• FIRST EPSS（CVE-2026-121615 はデータなし）