--- title: "WAVLINK WN536AX6-A（V260507）の /protocol.csp で OS コマンドインジェクション 3 件とスタックバッファオーバーフロー 1 件（CVE-2026-120279〜120282、CVSS v3.1 最大 10.0）: 攻撃手法は公開済み、修正版は未確認" url: https://n-t-p.io/worldsecurity/articles/wavlink-wn536ax6-a-protocol-csp-os-command-injection-openvpn-wireguard-host-black-stack-overflow-public-poc-4-cves-cve-2026-120279 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月2日 updated: 2026年11月2日 severity: 緊急 cve: CVE-2026-120279, CVE-2026-120280, CVE-2026-120281, CVE-2026-120282 --- # WAVLINK WN536AX6-A（V260507）の /protocol.csp で OS コマンドインジェクション 3 件とスタックバッファオーバーフロー 1 件（CVE-2026-120279〜120282、CVSS v3.1 最大 10.0）: 攻撃手法は公開済み、修正版は未確認 > **TL;DR:** WAVLINK WN536AX6-A（V260507）の /protocol.csp で OS コマンドインジェクション 3 件（CVE-2026-120279・120280・120282）とスタックバッファオーバーフロー 1 件（CVE-2026-120281）。3 件は認証不要で CVSS v3.1 10.0／v4.0 9.3、1 件は低い権限で 9.9／8.6。攻撃手法は公開済み。修正版は確認できず。KEV なし、EPSS は公開直後のため未算出、悪用は未確認。 **要点** - WAVLINK WN536AX6-A（V260507）の /protocol.csp にある 4 つの処理（OpenVPN クライアント、WireGuard 設定、host_black、OpenVPN 処理の strcpy）で、引数（file_id・group_id／group_name・mac・openvpn_ip）の扱いに不備。OS コマンドインジェクション 3 件とスタックバッファオーバーフロー 1 件で、成功すると機器上でコマンドを実行される想定 - CVSS は v3.1 が 10.0（120279〜120281、認証不要）と 9.9（120282、低い権限）、v4.0 が 9.3 と 8.6（いずれも VulDB＝CNA の値）。NVD は Received で独自評価なし - 攻撃手法は公開済みと説明にあるが、実際の悪用は未確認。KEV なし、EPSS は公開直後のため未算出 - ベンダーには連絡済みとされるが、修正版・回避策は確認できず（2026-11-02 時点）。管理画面を外部から到達不能にするなどは推定 - V260507 以外の版・他機種への影響は未確認。同日登録の別の 2 件（CVE-2026-120276・120277）とは別の CVE NVD は 2026-11-02 に、WAVLINK 製ルーター WN536AX6-A のファームウェア V260507 の Web 管理側の処理 /protocol.csp に関する脆弱性 4 件（CVE-2026-120279・120280・120281・120282）を登録しました。内訳は OS コマンドインジェクション 3 件（file_id・group_id／group_name・mac の各引数）と、スタックベースのバッファオーバーフロー 1 件（openvpn_ip 引数）です。登録元（CNA）は VulDB で、説明には「攻撃手法（エクスプロイト）が公開されており、使われるおそれがある」「ベンダーには開示の初期に連絡した」と書かれています。CVSS は 120279〜120281 が v3.1 10.0・v4.0 9.3（ログイン不要）、120282 が v3.1 9.9・v4.0 8.6（低い権限が必要）です。 ## 何が起きるか - 対象は WAVLINK WN536AX6-A の V260507 です（NVD の説明）。 - CVE-2026-120279 は OpenVPN クライアント処理（openvpn_cli Handler）の file_id 引数、CVE-2026-120280 は WireGuard の設定処理（wireguard_cli_group handler）の group_id／group_name 引数、CVE-2026-120282 は host_black 処理の mac 引数で、いずれも OS コマンドインジェクションです（CWE-77）。 - CVE-2026-120281 は OpenVPN 処理の strcpy を使う箇所で、openvpn_ip 引数の長さが確認されずスタックベースのバッファオーバーフローになります（CWE-119）。 - 120279〜120281 は、ネットワーク越しに、低い複雑さで、認証なしに攻撃できると CVSS のベクターに示されています（AV:N／AC:L／PR:N／UI:N）。120282 だけは低い権限（PR:L）、つまり何らかのログインが前提です。 - 成功した場合、機器上で任意の OS コマンドを実行されるなど、機密性・完全性・可用性のすべてに影響が及ぶ想定です（CVSS 上の評価。スコープ変更 S:C とされています）。バッファオーバーフローの 120281 は、実際にコード実行まで至るかは未確認です。 - 攻撃手法は、GitHub 上の公開リポジトリと VulDB の投稿ページに掲載されていると、NVD の参照先に示されています。本記事では攻撃の詳細は扱いません。 ## 修正の状況 - 修正版は確認できていません。NVD の説明は「ベンダーには早い段階で連絡した」とするだけで、ベンダーの勧告や回避策への参照もありません（2026-11-02 時点）。 - 影響版として挙がっているのは V260507 だけです。それ以外の版や、同じファームウェアを使う他機種が影響を受けるかは未確認です。 - 同じ機種では、/bin/ioos の group_name 引数に関する OS コマンドインジェクション 2 件（CVE-2026-120276・120277）も同日に登録されています。本件の 4 件はそれらとは別の CVE です。 ## 数値と出典（2026-11-02 時点） | CVE | 箇所（引数） | 種類 | 必要な権限 | CVSS v3.1 | CVSS v4.0 | CWE | EPSS | |---|---|---|---|---|---|---|---| | CVE-2026-120279 | /protocol.csp openvpn_cli Handler（file_id） | OS コマンドインジェクション | 不要 | 10.0 | 9.3 | CWE-77 | 公開直後のため未算出 | | CVE-2026-120280 | /protocol.csp WireGuard 設定処理（group_id／group_name） | OS コマンドインジェクション | 不要 | 10.0 | 9.3 | CWE-77 | 公開直後のため未算出 | | CVE-2026-120281 | /protocol.csp OpenVPN 処理の strcpy（openvpn_ip） | スタックバッファオーバーフロー | 不要 | 10.0 | 9.3 | CWE-119 | 公開直後のため未算出 | | CVE-2026-120282 | /protocol.csp host_black（mac） | OS コマンドインジェクション | 低い権限 | 9.9 | 8.6 | CWE-77 | 公開直後のため未算出 | - NVD の状態は 4 件とも Received で、NVD 自身の評価はまだありません。CVSS は VulDB（CNA）の値です。v3.1 のベクターは 120279〜120281 が AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H（10.0）、120282 が AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H（9.9）です。v4.0 の悪用成熟度は 4 件とも PoC（E:P）です。 - EPSS（FIRST）は 2026-11-02 時点で 4 件とも未登録のため、「公開直後のため未算出」としています。 - KEV（CISA の悪用確認済みカタログ）には 4 件とも掲載がありません（2026-11-02 取得、カタログの公開日は 2026-10-30）。 ## severity を critical とした理由 認証なしでリモートから機器を乗っ取れる想定の欠陥が 3 件あり、CVSS v3.1 が 10.0、攻撃手法が公開済みで、修正版も確認できません。一方で、実際の悪用は確認しておらず、KEV にも載っておらず、EPSS も未算出です。管理画面を外部に公開していない構成では到達されにくいと考えられます（推定）。ただし、ルーターは境界に置かれるため、成立した場合の影響は大きく、同種の公開済み攻撃手法の悪用が速いことも踏まえ、critical としています。 ## 対応として考えられること 1. 自社や拠点で WAVLINK WN536AX6-A を使っているか、ファームウェアの版が V260507 かを確認します。 2. 管理画面（Web）を、インターネット側からも、不特定多数が使うネットワークからも到達できないようにします（推定）。 3. OpenVPN クライアントや WireGuard の設定機能を使っていない場合は無効にします。管理用のアクセス元を許可した端末だけに絞ります（推定）。 4. ベンダーの公式サイトで新しいファームウェアが出ていないか定期的に確認します。出ていない間は、境界のファイアウォールでの遮断や、機器の入れ替えも検討します（推定）。 5. 機器から見慣れない外向きの通信が出ていないか、設定が勝手に変わっていないかを、ログや設定のバックアップと比べて確認します（推定）。 ## 未確認の点 - 実際の攻撃での悪用は確認していません。 - 修正版・回避策の有無、ベンダーの回答は確認できていません。 - V260507 以外の版や、他機種への影響は未確認です。 - 実際に認証なしで成立するかは、CVSS のベクター（PR:N）に基づく記載で、公開されている手順の中身は確認していません。 - バッファオーバーフロー（CVE-2026-120281）が任意コード実行まで至るかは未確認です。 - NVD 自身の評価は未実施（Received）です。CVSS は CNA の値です。 ## 出典 - [NVD CVE-2026-120279](https://nvd.nist.gov/vuln/detail/CVE-2026-120279) — NIST NVD - [NVD CVE-2026-120280](https://nvd.nist.gov/vuln/detail/CVE-2026-120280) — NIST NVD - [NVD CVE-2026-120281](https://nvd.nist.gov/vuln/detail/CVE-2026-120281) — NIST NVD - [NVD CVE-2026-120282](https://nvd.nist.gov/vuln/detail/CVE-2026-120282) — NIST NVD - [VulDB 登録情報（CVE-2026-120279）](https://vuldb.com/cve/CVE-2026-120279) — VulDB - [VulDB 登録情報（CVE-2026-120280）](https://vuldb.com/cve/CVE-2026-120280) — VulDB - [VulDB 登録情報（CVE-2026-120281）](https://vuldb.com/cve/CVE-2026-120281) — VulDB - [VulDB 登録情報（CVE-2026-120282）](https://vuldb.com/cve/CVE-2026-120282) — VulDB - [FIRST EPSS](https://api.first.org/data/v1/epss?cve=CVE-2026-120279,CVE-2026-120280,CVE-2026-120281,CVE-2026-120282) — FIRST - [CISA KEV カタログ](https://www.cisa.gov/known-exploited-vulnerabilities-catalog) — CISA --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/wavlink-wn536ax6-a-protocol-csp-os-command-injection-openvpn-wireguard-host-black-stack-overflow-public-poc-4-cves-cve-2026-120279