TOTOLINK A950RG の簡易設定ウィザードでスタックバッファオーバーフロー（CVE-2026-121597）: CVSS v3.1 9.9 だが PR:L、概念実証が公開済み

TOTOLINK のルーター A950RG（ファームウェア 4.1.2cu.5268_B20221104）に、スタックベースのバッファオーバーフローがあるとして、CVE-2026-121597 が 2026-11-04 に NVD に登録されました。概念実証（PoC）が公開されているとされます。修正版は確認できていません。

何が起きるか

• 欠陥があるのは、/cgi-bin/cstecgi.cgi の簡易設定ウィザード処理（setAppEasyWizardConfig 関数）です。
• 引数 functionType を細工して渡すと、スタック上のバッファがあふれます（CWE-119・CWE-121）。
• NVD の説明では、遠隔から攻撃でき、悪用方法が公開されているとされます。あふれた結果として何ができるか（任意コード実行まで至るか）は、説明には書かれていません。

数値と severity

• CVSS v3.1 は 9.9（評価元 VulDB・Primary）。ベクターは AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H で、ネットワークから、低い権限（ログイン済み）で、利用者の操作なしに、影響範囲が広がる想定です。
• CVSS v4.0 は 8.6（同・Secondary）。PR:L、悪用の成熟度は PoC です。
• NVD の状態は Deferred（2026-11-04 時点）で、NVD 自身の評価はまだありません。
• 数値は 9 を超えますが、攻撃に低い権限が要る（PR:L）ため、本サイトの基準では critical にせず、severity は high とします。
• FIRST の EPSS はデータなし（算出前）。CISA の KEV には載っていません。

対策

• 修正版は確認できていません。TOTOLINK の公式サイトで、A950RG の新しいファームウェアが出ていないかを確かめる。
• 管理画面（Web 設定画面）を WAN 側（インターネット）に公開しない。管理できる端末を LAN 内の限られたものに絞り、管理用アカウントの資格情報を初期のままにしない。
• 簡易設定ウィザードを使わない運用にし、使うときだけ LAN 内から行う。
• サポートが続かない場合は、機器の置き換えも検討する。

未確認の点

• 修正版・勧告の有無と、対象となる他の版・他機種への影響。
• 実際に悪用されているか、規模はどの程度か。
• あふれた結果として任意コード実行まで至るか。
• PoC の中身（参照先は個人の公開ページで、本稿では開いていません）。
• NVD の最終評価。EPSS。

出典

• NVD: CVE-2026-121597
• FIRST EPSS（CVE-2026-121597 はデータなし）
• CISA KEV（掲載なし）