--- title: "Yealink Plug-in Softwares 2.35.219.0 より前の CVE-2026-122120: 特定の条件で未認証のファイル書き込みが起き、リモートコード実行につながる恐れ（CVSS 9.0）" url: https://n-t-p.io/worldsecurity/articles/yealink-plug-in-softwares-unauthorized-file-write-cve-2026-122120 lang: ja kind: 速報 category: 脆弱性・CVE author: World Security 編集部 published: 2026年11月7日 updated: 2026年11月7日 severity: 緊急 cve: CVE-2026-122120 --- # Yealink Plug-in Softwares 2.35.219.0 より前の CVE-2026-122120: 特定の条件で未認証のファイル書き込みが起き、リモートコード実行につながる恐れ（CVSS 9.0） > **TL;DR:** Yealink の Windows 向け Plug-in Softwares 2.35.219.0 より前で、特定の条件下で認可なしのファイル書き込みが可能になり、リモートコード実行につながる恐れ（CVE-2026-122120、CVSS 9.0）。条件の中身・悪用は未確認。 **要点** - 特定の条件下で認可なしにファイルを書き込まれ、リモートコード実行の恐れ（CWE-434）。CVSS 9.0（v3.1、AC:H）・認証不要のため critical。 - 対象は Windows 向け Plug-in Softwares の 2.35.219.0 より前。条件の中身と攻撃経路は NVD の本文になく未確認。 - 2.35.219.0 以降への更新が必要。参照先、悪用の有無、EPSS、NVD の最終評価は未確認。 Yealink の Windows 向け「Plug-in Softwares」に欠陥（CVE-2026-122120）が登録されました。NVD への登録は 2026-11-04 で、NVD 自身の評価はまだありません（状態は Received）。2.35.219.0 より前の版が対象です。 ## 何が起きるか - NVD の記述は短く、「特定の条件下で、認可されていないファイル書き込みが可能になり、攻撃者がリモートコード実行を達成しうる」というものです。 - 対象は Windows 向けの Yealink Plug-in Softwares の、2.35.219.0 より前の全版です。 - どんな条件か、どの経路（どのポートや機能）でファイルを書き込めるのかは、NVD の本文に書かれておらず、本稿では確認できていません。 - 悪用が確認されたとの記載は、NVD の本文にはありません（確認時点）。 ## 数値と severity - CVSS v3.1: 9.0（CRITICAL、AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）。付けたのは MITRE（CNA）で、NVD 上では Secondary です。 - 攻撃元区分はネットワークで、認証・利用者の操作は不要とされています。ただし攻撃の難しさは「高」（AC:H）で、特定の条件が必要です。認証が要らず数値も 9 以上のため、編集部の基準では critical とします。 - CWE は CWE-434（危険な種類のファイルの無制限アップロード）。 - CISA の KEV への掲載はありません（確認時点）。EPSS は未算出です。 ## 対策 - NVD の記述では、2.35.219.0 より前が対象です。Plug-in Softwares を入れている Windows 端末は、2.35.219.0 以降へ更新してください。 - 更新できるまでの暫定対策は、本稿では確認できていません。 ## 未確認の点 - NVD の参照先（Yealink のサポートページとセキュリティ情報）は本稿では開いておらず、内容は未確認です。 - 「特定の条件」の中身、攻撃に必要な前提、書き込めるファイルの場所。 - 2.35.219.0 の公開状況と、ほかの Yealink 製品への影響。 - 暫定対策の有無、実際の悪用の有無、EPSS、NVD の最終評価。 ## 出典 - NVD: CVE-2026-122120 - Yealink セキュリティ情報（NVD の参照先。未取得） ## 出典 - [NVD CVE-2026-122120](https://nvd.nist.gov/vuln/detail/CVE-2026-122120) — NIST NVD - [Yealink セキュリティ情報（NVD の参照先。未取得）](https://www.yealink.com/en/trust-center/security-bulletins/yealink-plugin-softwares-remote-code-execution-vulnerability) — Yealink --- 出典: World Security（株式会社NTP） https://n-t-p.io/worldsecurity/articles/yealink-plug-in-softwares-unauthorized-file-write-cve-2026-122120