目次（6）
CVE-2026-102212
NVD は 2026-10-31 に、Opengear のコンソールサーバー製品（IM72XX・CM71XX・ACM70XX）の CVE-2026-102212 を登録しました。Web 管理画面の index.cgi で、細工した multipart/form-data の POST（Content-Disposition の name フィールドが極端に長いもの）を送ると、ヒープバッファオーバーフロー（CWE-122）が起き、認証なしで index.cgi のプロセスを落とせます。CVSS v4.0 は 8.4（HIGH）です。ベンダーの勧告の題名には「Buffer Overflow to RCE」とあり、コード実行まで至る可能性を示唆していますが、勧告の本文は確認できていません。
何が起きるか
- 影響を受けるのは、IM7200・CM7100・ACM7000 系のファームウェア 4.8.0 から 5.5.2 までです（CNA の記述）。
- ネットワーク越しに、ログインなしで攻撃できます。NVD の記述では、確実に起きるのは index.cgi プロセスの異常終了（クラッシュ）です。
- CVSS v4.0 のベクターでは、攻撃条件の複雑さが「高」、攻撃の前提条件が「あり」とされ、悪用には追加の条件が要ることを示します。一方で機密性・完全性・可用性の影響は、本体も後続システムも「高」です。
- 勧告の題名にある RCE（遠隔コード実行）に至るかは、本文を読めていないため未確認です。ヒープ破壊が一般にコード実行につながり得る点からの推定にとどまります。
- コンソールサーバーは、サーバーやネットワーク機器の管理用シリアル・管理ネットワークの入口として使われる機器です。侵害されると、背後の機器の管理に影響するおそれがあります（推定）。
- 実際の攻撃での悪用は確認していません。CVSS の攻撃の成熟度は「未報告」です。
修正の状況
- NVD の参照に、ファームウェア 5.5.3 の一般提供のお知らせがあります。5.5.3 が本件の修正版である可能性が高いと考えられますが、お知らせの本文は確認できていません（推定）。
- 回避策は確認できていません。
数値と出典（2026-11-02 時点）
| 項目 | 内容 |
|---|---|
| CVE | CVE-2026-102212 |
| NVD 公開日 | 2026-10-31 |
| 影響版 | IM7200・CM7100・ACM7000 のファームウェア 4.8.0〜5.5.2 |
| 修正版 | 5.5.3（NVD の参照に一般提供のお知らせ。本文は未確認） |
| CWE | CWE-122（ヒープベースのバッファオーバーフロー） |
| CVSS v4.0 | 8.4 HIGH（AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H）。CNA の値で、NVD 上は Secondary |
| NVD の状態 | Received（NVD 自身の評価は未実施） |
| EPSS | 0.0032（パーセンタイル 0.25、FIRST、2026-11-01 付） |
| KEV | 掲載なし（CISA のカタログで CVE-2026-102212 を確認できず） |
severity を high とした理由
認証なしで、ネットワーク越しにプロセスを落とせる点は確実で、CVSS v4.0 は 8.4 です。勧告の題名からコード実行の可能性もあります。一方で、攻撃条件の複雑さは高く、悪用の確認はなく、EPSS は約 0.3%、KEV にも載っていません。コード実行の成否が未確認のため、critical にはせず high としました。
対応として考えられること
- 自社でコンソールサーバーの IM72XX・CM71XX・ACM70XX を使っているか、ファームウェアの版が 4.8.0〜5.5.2 に当たるかを確認します。
- ベンダーの案内に従い、5.5.3 以降への更新を計画します。更新前に設定のバックアップを取ります（推定）。
- 更新までの間、Web 管理画面への到達を管理用ネットワークや踏み台に限ります。インターネットに公開している場合は、先に外します（推定）。
- 管理画面へのアクセスログで、異常に長い項目を含む POST や、index.cgi の繰り返しの異常終了がないかを見ます（推定）。
- 異常終了の痕跡があれば、機器の設定と、背後の機器の管理アカウントの使用履歴を点検します（推定）。
未確認の点
- 実際の攻撃での悪用は確認していません。
- コード実行（RCE）まで可能かは確認していません。ベンダー勧告の本文は読めていません。
- 5.5.3 が本件の修正を含むこと、4.8.0 より前の版が影響を受けないことは確認していません。
- NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。
この記事について
- 執筆・編集
- World Security 編集部
出典
- NVD CVE-2026-102212（NIST NVD）
- CVE-2026-102212 CVE レコード（CVE Program）
- Opengear 勧告: CVE-2026-102212 Console Server Buffer Overflow to RCE（Opengear）
- Opengear: Firmware 5.5.3 一般提供のお知らせ（Opengear）
- FIRST EPSS CVE-2026-102212（FIRST）
- CISA KEV カタログ（CISA）
