---
title: "Qihoo 360 ルーター D603-2 / D600-2 / D606-6 の時刻設定処理に OS コマンドインジェクション（CVE-2026-121608）: CVSS v3.1 7.3、攻撃コード公開・6.4.0 で入力検査を追加"
url: https://n-t-p.io/worldsecurity/articles/qihoo-360-cve-2026-121608-timezone-push-os-command-injection
lang: ja
kind: 速報
category: 脆弱性・CVE
author: World Security 編集部
published: 2026年11月7日
updated: 2026年11月7日
severity: 高
cve: CVE-2026-121608
---

# Qihoo 360 ルーター D603-2 / D600-2 / D606-6 の時刻設定処理に OS コマンドインジェクション（CVE-2026-121608）: CVSS v3.1 7.3、攻撃コード公開・6.4.0 で入力検査を追加

> **TL;DR:** Qihoo 360 の D603-2、D600-2、D606-6（ファームウェア 6.3.2 まで）で、tz 引数の操作により OS コマンドを実行させられる（CVE-2026-121608、CWE-78、CVSS v3.1 7.3）。認証不要で遠隔から攻撃でき、攻撃コードは公開済み。6.4.0 で入力検査が追加された。悪用の有無は未確認。

**要点**
- Qihoo 360 の 3 機種のファームウェア 6.3.0〜6.3.2 で、タイムゾーン処理の tz 引数から OS コマンドインジェクションが起きる（CVE-2026-121608、CWE-78）。
- CVSS v3.1 は 7.3、v4.0 は 5.5。認証不要で遠隔から攻撃可、影響は機密性・完全性・可用性とも低と評価。
- 攻撃コードは公開済みと記載。6.4.0 で check_timezone_parameter による検査が追加された。実際の悪用は未確認。
- 6.4.0 以降への更新を検討し、機器の管理用通信を外部に公開しない。

Qihoo 360 のルーター D603-2、D600-2、D606-6 のファームウェアに、OS コマンドインジェクション（CWE-78、CWE-77）があるとして、CVE-2026-121608 が 2026-11-04 に NVD に登録されました。登録元は VulDB です。

## 何が起きるか
- NVD の記載によると、タイムゾーンを受け取る処理（/fs2/bin/iscm の on_push_message）で、引数 tz を操作すると OS コマンドを実行させられます。
- 遠隔から攻撃でき、CVSS v3.1 のベクターは AV:N/AC:L/PR:N/UI:N です。認証は不要と評価されています。機密性・完全性・可用性への影響はいずれも「低」です。
- 攻撃コードが公開されていると記載されています。実際の悪用が確認されているかは未確認です。

## 影響を受ける版
- 対象は上記 3 機種のファームウェア 6.3.0、6.3.1、6.3.2 と登録されています。
- 6.4.0 では check_timezone_parameter による入力検査が追加されており、影響を受けない版として記載されています。ただし修正の中身は確認していません（未確認）。

## 数値と severity
- CVSS v3.1 は 7.3（HIGH）、v4.0 は 5.5（MEDIUM）で、どちらも登録元の VulDB による評価です。両者に差があります。
- 認証不要ですが、CVSS 9 未満で影響の評価も「低」にとどまるため、critical にはせず severity は high とします。
- NVD の状態は「Deferred」で、NVD 自身の評価はまだありません。FIRST の EPSS と CISA の KEV は本記事の作成時点で未確認です。

## 対策
- 該当機種を使っている場合は、ファームウェアを 6.4.0 以降に更新してください。更新手順と提供状況は Qihoo 360 の案内で確認してください（未確認）。
- 更新できない間は、管理画面や制御用の通信を外部に公開しない、信頼できないネットワークから機器へ届く経路を絞る、といった対応が考えられます。

## 未確認の点
- tz をどの経路（認証の要否を含む）で送れるか。ベクターは認証不要ですが、実際の条件は確認していません。
- コマンドが実行される権限と、実際の影響範囲。
- 実際の悪用の有無（攻撃コードは公開済みと記載）。
- 6.4.0 の修正の中身。
- NVD の最終評価、EPSS、KEV の掲載状況。

## 出典
- NVD: CVE-2026-121608
- VulDB: CVE-2026-121608 の記録


## 出典
- [NVD CVE-2026-121608](https://nvd.nist.gov/vuln/detail/CVE-2026-121608) — NIST NVD
- [VulDB CVE-2026-121608](https://vuldb.com/cve/CVE-2026-121608) — VulDB

---
出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/qihoo-360-cve-2026-121608-timezone-push-os-command-injection