360（Qihoo 360）ルーター 6.4.9 まで・M5 の CVE-2026-121606・121607・121609: ファームウェア署名検証の不備、OS コマンドインジェクション、固定の認証情報（CVSS 10.0）

360（Qihoo 360）のルーター製品に、認証なしでネットワークから悪用できるとされる脆弱性 3 件（CVE-2026-121606・121607・121609）が公表されました。NVD への登録は 2026-11-04、状態は「Deferred」（NVD の分析は保留）です。登録元は VulDB で、ベンダーに事前に連絡したものの返答はなかったと記載されています。修正版は確認できていません。

3 件の内容

• CVE-2026-121606: D621-2・D603-2・D600-2・D619・D606-6・D706 の 6.4.9 まで。ファームウェアの署名を検証する処理（fs2/bin/iscm の verify_sign）で、引数 sign を操作すると暗号署名の検証が正しく行われません（CWE-345・347）。不正なファームウェアを受け入れさせられる恐れがあります。
• CVE-2026-121607: D603-2・D600-2・D606-6・D706 の 6.4.9 まで。/fs2/bin/iscm の testspeed_command で、引数 host を操作すると OS コマンドインジェクションが起きます（CWE-77・78）。任意のコマンドを実行される恐れがあります。
• CVE-2026-121609: Whole Home Router M5 の 4.0.17.1566。起動スクリプト /etc/init.d/mpt の Home 関数に固定の認証情報が埋め込まれています（CWE-259・798）。

数値と severity

• 3 件とも CVSS v3.1: 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。評価者は VulDB です。
• 認証が不要で、ネットワーク越しに悪用でき、CVSS が 9 以上のため、severity は critical とします。
• いずれも「攻撃コードが公開されている」と記載されています。

対策

• ベンダーの修正版・回避策は、現時点で確認できていません。
• 管理画面や管理用のサービスをインターネットに公開しない。公開している場合は止める。
• 影響を受ける機種を使っている場合は、ネットワークの入口で管理用ポートへのアクセスを制限し、機種の入れ替えも検討する（一般的な対応で、ベンダーの指示ではありません）。
• 使用中の管理パスワードや Wi-Fi のパスワードは、変更を検討する。

未確認の点

• ベンダーの回答・修正版・サポート状況。
• 各攻撃で実際に必要な条件（どのサービス・ポートに届けば悪用できるか）。VulDB の記載は「リモートから可能」のみです。
• 実際の悪用、EPSS、CISA KEV への掲載。
• NVD の最終評価（現在は Deferred）。

出典

• NVD: CVE-2026-121606・CVE-2026-121607・CVE-2026-121609
• VulDB: CVE-2026-121606（vuldb.com/vuln/430443）、CVE-2026-121607（vuldb.com/vuln/430444）、CVE-2026-121609（vuldb.com/vuln/430446）