--- title: "360（Qihoo 360）ルーター 6.4.9 まで・M5 の CVE-2026-121606・121607・121609: ファームウェア署名検証の不備、OS コマンドインジェクション、固定の認証情報（CVSS 10.0）" url: https://n-t-p.io/worldsecurity/articles/qihoo-360-routers-cve-2026-121606-121607-121609-iscm-signature-os-command-injection-hardcoded-credentials lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-121606, CVE-2026-121607, CVE-2026-121609 --- # 360（Qihoo 360）ルーター 6.4.9 まで・M5 の CVE-2026-121606・121607・121609: ファームウェア署名検証の不備、OS コマンドインジェクション、固定の認証情報（CVSS 10.0） > **TL;DR:** 360（Qihoo 360）ルーターの 6.4.9 までと M5 に、署名検証の不備・OS コマンドインジェクション・固定の認証情報の 3 件（CVE-2026-121606・121607・121609、いずれも CVSS 10.0・認証不要）。攻撃コード公開、ベンダー未応答、修正版は未確認。 **要点** - 3 件とも認証不要・ネットワーク越し・CVSS 10.0 のため critical。攻撃コードが公開済みと記載。 - 署名検証の不備（121606）、testspeed_command の OS コマンドインジェクション（121607）、起動スクリプトの固定の認証情報（121609）。 - ベンダーは未応答で、修正版・悪用の有無・EPSS・KEV・NVD の最終評価は未確認。 360（Qihoo 360）のルーター製品に、認証なしでネットワークから悪用できるとされる脆弱性 3 件（CVE-2026-121606・121607・121609）が公表されました。NVD への登録は 2026-11-04、状態は「Deferred」（NVD の分析は保留）です。登録元は VulDB で、ベンダーに事前に連絡したものの返答はなかったと記載されています。修正版は確認できていません。 ## 3 件の内容 - **CVE-2026-121606**: D621-2・D603-2・D600-2・D619・D606-6・D706 の 6.4.9 まで。ファームウェアの署名を検証する処理（`fs2/bin/iscm` の `verify_sign`）で、引数 `sign` を操作すると暗号署名の検証が正しく行われません（CWE-345・347）。不正なファームウェアを受け入れさせられる恐れがあります。 - **CVE-2026-121607**: D603-2・D600-2・D606-6・D706 の 6.4.9 まで。`/fs2/bin/iscm` の `testspeed_command` で、引数 `host` を操作すると OS コマンドインジェクションが起きます（CWE-77・78）。任意のコマンドを実行される恐れがあります。 - **CVE-2026-121609**: Whole Home Router M5 の 4.0.17.1566。起動スクリプト `/etc/init.d/mpt` の `Home` 関数に固定の認証情報が埋め込まれています（CWE-259・798）。 ## 数値と severity - 3 件とも CVSS v3.1: 10.0（AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H）。評価者は VulDB です。 - 認証が不要で、ネットワーク越しに悪用でき、CVSS が 9 以上のため、severity は critical とします。 - いずれも「攻撃コードが公開されている」と記載されています。 ## 対策 - ベンダーの修正版・回避策は、現時点で確認できていません。 - 管理画面や管理用のサービスをインターネットに公開しない。公開している場合は止める。 - 影響を受ける機種を使っている場合は、ネットワークの入口で管理用ポートへのアクセスを制限し、機種の入れ替えも検討する（一般的な対応で、ベンダーの指示ではありません）。 - 使用中の管理パスワードや Wi-Fi のパスワードは、変更を検討する。 ## 未確認の点 - ベンダーの回答・修正版・サポート状況。 - 各攻撃で実際に必要な条件（どのサービス・ポートに届けば悪用できるか）。VulDB の記載は「リモートから可能」のみです。 - 実際の悪用、EPSS、CISA KEV への掲載。 - NVD の最終評価（現在は Deferred）。 ## 出典 - NVD: CVE-2026-121606・CVE-2026-121607・CVE-2026-121609 - VulDB: CVE-2026-121606（vuldb.com/vuln/430443）、CVE-2026-121607（vuldb.com/vuln/430444）、CVE-2026-121609（vuldb.com/vuln/430446） ## 出典 - [NVD CVE-2026-121606](https://nvd.nist.gov/vuln/detail/CVE-2026-121606) — NIST NVD - [NVD CVE-2026-121607](https://nvd.nist.gov/vuln/detail/CVE-2026-121607) — NIST NVD - [NVD CVE-2026-121609](https://nvd.nist.gov/vuln/detail/CVE-2026-121609) — NIST NVD - [VulDB CVE-2026-121606](https://vuldb.com/cve/CVE-2026-121606) — VulDB - [VulDB CVE-2026-121607](https://vuldb.com/cve/CVE-2026-121607) — VulDB - [VulDB CVE-2026-121609](https://vuldb.com/cve/CVE-2026-121609) — VulDB --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/qihoo-360-routers-cve-2026-121606-121607-121609-iscm-signature-os-command-injection-hardcoded-credentials