Yealink Plug-in Softwares 2.35.219.0 より前の CVE-2026-122120: 特定の条件で未認証のファイル書き込みが起き、リモートコード実行につながる恐れ（CVSS 9.0）

Yealink の Windows 向け「Plug-in Softwares」に欠陥（CVE-2026-122120）が登録されました。NVD への登録は 2026-11-04 で、NVD 自身の評価はまだありません（状態は Received）。2.35.219.0 より前の版が対象です。

何が起きるか

• NVD の記述は短く、「特定の条件下で、認可されていないファイル書き込みが可能になり、攻撃者がリモートコード実行を達成しうる」というものです。
• 対象は Windows 向けの Yealink Plug-in Softwares の、2.35.219.0 より前の全版です。
• どんな条件か、どの経路（どのポートや機能）でファイルを書き込めるのかは、NVD の本文に書かれておらず、本稿では確認できていません。
• 悪用が確認されたとの記載は、NVD の本文にはありません（確認時点）。

数値と severity

• CVSS v3.1: 9.0（CRITICAL、AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）。付けたのは MITRE（CNA）で、NVD 上では Secondary です。
• 攻撃元区分はネットワークで、認証・利用者の操作は不要とされています。ただし攻撃の難しさは「高」（AC:H）で、特定の条件が必要です。認証が要らず数値も 9 以上のため、編集部の基準では critical とします。
• CWE は CWE-434（危険な種類のファイルの無制限アップロード）。
• CISA の KEV への掲載はありません（確認時点）。EPSS は未算出です。

対策

• NVD の記述では、2.35.219.0 より前が対象です。Plug-in Softwares を入れている Windows 端末は、2.35.219.0 以降へ更新してください。
• 更新できるまでの暫定対策は、本稿では確認できていません。

未確認の点

• NVD の参照先（Yealink のサポートページとセキュリティ情報）は本稿では開いておらず、内容は未確認です。
• 「特定の条件」の中身、攻撃に必要な前提、書き込めるファイルの場所。
• 2.35.219.0 の公開状況と、ほかの Yealink 製品への影響。
• 暫定対策の有無、実際の悪用の有無、EPSS、NVD の最終評価。

出典

• NVD: CVE-2026-122120
• Yealink セキュリティ情報（NVD の参照先。未取得）