Qihoo 360 ルーター D603-2 / D600-2 / D606-6 の時刻設定処理に OS コマンドインジェクション（CVE-2026-121608）: CVSS v3.1 7.3、攻撃コード公開・6.4.0 で入力検査を追加

Qihoo 360 のルーター D603-2、D600-2、D606-6 のファームウェアに、OS コマンドインジェクション（CWE-78、CWE-77）があるとして、CVE-2026-121608 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。

何が起きるか

• NVD の記載によると、タイムゾーンを受け取る処理（/fs2/bin/iscm の on_push_message）で、引数 tz を操作すると OS コマンドを実行させられます。
• 遠隔から攻撃でき、CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N です。認証は不要と評価されています。機密性・完全性・可用性への影響はいずれも「低」です。
• 攻撃コードが公開されていると記載されています。実際の悪用が確認されているかは未確認です。

影響を受ける版

• 対象は上記 3 機種のファームウェア 6.3.0、6.3.1、6.3.2 と登録されています。
• 6.4.0 では check_timezone_parameter による入力検査が追加されており、影響を受けない版として記載されています。ただし修正の中身は確認していません（未確認）。

数値と severity

• CVSS v3.1 は 7.3（HIGH）、v4.0 は 5.5（MEDIUM）で、どちらも登録元の VulDB による評価です。両者に差があります。
• 認証不要ですが、CVSS 9 未満で影響の評価も「低」にとどまるため、critical にはせず severity は high とします。
• NVD の状態は「Deferred」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。

対策

• 該当機種を使っている場合は、ファームウェアを 6.4.0 以降に更新してください。更新手順と提供状況は Qihoo 360 の案内で確認してください（未確認）。
• 更新できない間は、管理画面や制御用の通信を外部に公開しない、信頼できないネットワークから機器へ届く経路を絞る、といった対応が考えられます。

未確認の点

• tz をどの経路（認証の要否を含む）で送れるか。ベクターは認証不要ですが、実際の条件は確認していません。
• コマンドが実行される権限と、実際の影響範囲。
• 実際の悪用の有無（攻撃コードは公開済みと記載）。
• 6.4.0 の修正の中身。
• NVD の最終評価、EPSS、KEV の掲載状況。

出典

• NVD: CVE-2026-121608
• VulDB: CVE-2026-121608 の記録