--- title: "Linksys E5600（1.1.0.26）の mesh_login.cgi に認証の不備（CVE-2026-121615）: CVSS v4.0 9.3、認証不要、公開済みの手法あり、サポート終了品で修正版は未確認" url: https://n-t-p.io/worldsecurity/articles/linksys-e5600-mesh-login-cgi-authentication-bypass-cve-2026-121615 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-121615 --- # Linksys E5600（1.1.0.26）の mesh_login.cgi に認証の不備（CVE-2026-121615）: CVSS v4.0 9.3、認証不要、公開済みの手法あり、サポート終了品で修正版は未確認 > **TL;DR:** Linksys E5600（1.1.0.26）の /cgi-bin/mesh_login.cgi（ログイン処理）に認証の不備がある（CVE-2026-121615、CWE-287、CVSS v4.0 9.3）。リモートから攻撃でき、認証は不要とされ、手法は公開済み。ベンダーは連絡に応答しておらず、サポート終了品のため修正版は未確認。KEV 未掲載、EPSS はデータなし。 **要点** - Linksys E5600（1.1.0.26）のログイン処理 /cgi-bin/mesh_login.cgi に認証の不備（CVE-2026-121615）。 - CVSS v4.0 は 9.3（AV:N・PR:N・UI:N、評価元 VulDB）。NVD の状態は Deferred で、NVD の評価はまだない。 - NVD によると、リモートから攻撃でき、手法は公開済み。ベンダーは連絡に応答していないとされる。 - サポート終了品に限った問題とされ、修正版が出ない可能性がある。 - KEV には載っておらず、EPSS はデータなし。悪用の有無は未確認。 Linksys E5600 の 1.1.0.26 で、/cgi-bin/mesh_login.cgi（ログイン処理）に認証の不備があるとして、CVE-2026-121615 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。 ## 何が起きるか - 欠陥があるのは、ログイン処理の部品にあたる /cgi-bin/mesh_login.cgi です。NVD の記載では、具体的な関数は「不明」とされています。 - 操作によって、認証が正しく行われない状態になります（NVD の分類は CWE-287、不適切な認証）。これでログインを回避できるのか、どこまで操作できるのかは、NVD の記載からは分かりません。 - NVD は「リモートから攻撃できる」としています。 - NVD によると、攻撃の手法は公開されています。また、ベンダーには早い段階で連絡したものの、応答はなかったとされています。 - NVD には「この問題は、提供元がすでにサポートを終えた製品だけに当てはまる」とも書かれています。修正版が出る見込みは低いと考えられます。 ## 数値と severity - CVSS v4.0 は 9.3（CRITICAL）で、評価元は VulDB です。ベクターは AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H で、ネットワークから、権限も利用者の操作も不要です。攻撃コードの成熟度は概念実証（E:P）です。VulDB は CVSS v3.1 でも 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）を付けています。 - NVD の状態は Deferred で、NVD 自身の評価はまだありません。 - 認証が不要で CVSS が 9 以上のため、severity は critical とします。 - FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。 ## 対策 - 提供元（Linksys）の案内を確かめ、修正版が出ていれば更新する。修正版の有無は本稿では確認していません。サポートが終わっているため、出ない可能性があります。 - ルーターの管理画面や管理用の通信を、インターネット側に公開しない。 - 対象機種を使っている場合は、設定や管理用アカウントに身に覚えのない変更がないか確かめる。 - 修正版が出ない場合は、サポート中の機種への買い替えを検討する。 ## 未確認の点 - 認証の不備の具体的な中身（ログインの回避か、別の経路か）と、攻撃が成功した場合の具体的な影響。 - 修正版の有無と番号。1.1.0.26 以外の版や他機種への影響。 - 実際に悪用されているか、規模はどの程度か。 - 公開されている手法の中身。参照先の VulDB と公開資料（GitHub）は、本稿では開いていません。 - NVD の最終評価と EPSS。 ## 出典 - NVD: CVE-2026-121615 - VulDB 430463（NVD の参照先。未開封） - FIRST EPSS（CVE-2026-121615 はデータなし） ## 出典 - [NVD CVE-2026-121615](https://nvd.nist.gov/vuln/detail/CVE-2026-121615) — NIST NVD - [VulDB 430463（未開封）](https://vuldb.com/vuln/430463) — VulDB - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-121615) — FIRST --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/linksys-e5600-mesh-login-cgi-authentication-bypass-cve-2026-121615