ルーター購入時から危険な機能が存在か　ZBT製品で2件の重大脆弱性が報告

2026年8月28日、The Hacker Newsは、Shenzhen Zhibotong Electronics（ZBT）が製造するルーターのファームウェアから、認証を受けていない外部の第三者がroot権限でコマンドを実行できる2つの仕組みが確認されたと報じました。VulnCheckはこれらを「SPEAKINGSTONE」「DARKLANTERN」と命名し、それぞれCVE-2026-74232、CVE-2026-74233として公開しています。複数のルーターモデルが対象として挙げられており、別ブランドで販売される製品についても確認が必要となる可能性があります。

The Hacker News：China-Made ZBT Routers Ship With Two Implants Giving Unauthenticated Attackers Root Access

CyberCrewのペネトレーションテストを
詳しく知る CyberCrewへのお問い合わせ・
無料見積もりはこちら

この記事のポイント

影響のあるシステム

VulnCheckの調査では、複数のZbtlink製品や同じプラットフォームを利用するとみられる製品が対象として挙げられています。ただし、公開情報では影響範囲が完全に確定しているわけではありません。VulnCheckのアドバイザリにおけるバージョン表記とCVEレコードの記載方法には違いがあり、一覧にないファームウェアが安全であると判断できる根拠は示されていません。

CVE-2026-74233（DARKLANTERN）

Zbtlink WE1326：19.1101
Zbtlink WE357：19.1101
Zbtlink WE5926：19.1101
Zbtlink WE5926-WD：19.1101
Zbtlink WE826-Q：19.1101
Zbtlink WE826-T2：19.1101
Zbtlink WE826-WD：19.1101
Zbtlink WG108：19.1101
Zbtlink WG3526：19.1101
Zbtlink WE2426-C：19.1112
Zbtlink WE5926-EC_QP：20.0516
Zbtlink WF3526-P：19.051
CTN720-W1：19.1101
LF-1541：19.1101
MT7620N：19.1101
WRC1：20.0622

CVE-2026-74232（SPEAKINGSTONE）

Zbtlink L3_V2_8：3.0.0.4.528
Zbtlink WE826-T2：19.1101
Zbtlink ZBT-7628：1.0.0.2.007
Zbtlink ZBT-ZBT7621：1.0.0.3.001
MoreQuick MQAC-7620：1.0.0.2.000
MoreQuick MQAC-7620A：1.0.0.2.000
MoreQuick MQAP-7620：1.0.0.2.000
MoreQuick MQAP-7620A：1.0.0.2.000
MoreQuick MQAP-7628：1.0.0.2.000
AP522：1.0.0.2.014
AP7628：3.0.0.4.380
HC5661A：3.0.0.4.380
APG721B：19.0809
HK300：1.0.0.2.032
MAP-N10：1.0.0.2.044

ZBTは同じハードウェアやファームウェアを他社向けにも提供しているため、製品に表示されたブランド名だけでは製造元や影響の有無を判断できない場合があります。利用している機器のモデル番号とファームウェアバージョンを確認し、販売元や製造元の情報と照合することが重要です。

推奨される対策

使用中のルーターのモデル番号とファームウェアバージョンを確認してください。
ZBT以外のブランド名で販売されている製品についても、実際の製造元やモデル番号を確認してください。
DARKLANTERNへの暫定対策として、インターネット側からUDP/9992への通信をネットワーク境界で遮断してください。
UDP/10000を利用した外向き通信など、SPEAKINGSTONEに関連する不審な通信がないか確認してください。
公開されているIoCに含まれるドメインやIPアドレスへの通信を監視し、必要に応じて遮断してください。
infosrvd、yunmgrd、inetdetectなど、報告されたサービスや関連ファイルが存在しないか確認してください。
対応可能な環境では、VulnCheckが公開したSuricataやYARAの検知ルールの活用を検討してください。
対象となる可能性があるルーター配下のLANを無条件に信頼せず、重要な業務システムとのネットワーク分離を検討してください。
新しいファームウェアが提供されている場合も、今回のCVEが修正されたバージョンであることを販売元や製造元に確認してください。

特に今回の問題では、元記事公開時点でCVE-2026-74232およびCVE-2026-74233を修正したと明示されたファームウェアリリースは示されていません。そのため、単に「最新版へ更新した」というだけで安全と判断せず、機器のモデル、通信状況、稼働しているサービス、製造元からの最新情報を組み合わせて確認する必要があります。

この記事に出てくる専門用語

CVE-2026-74232：SPEAKINGSTONEに割り当てられた脆弱性番号です。対象機器では、外部から受け取った命令によってroot権限でコマンドを実行できる可能性があります。
CVE-2026-74233：DARKLANTERNに割り当てられた脆弱性番号です。認証処理を回避し、外部からroot権限でコマンドを実行できる可能性が報告されています。
SPEAKINGSTONE：yunmgrdというサービスとして動作し、ルーターから外部のC2サーバーへ通信する仕組みです。コマンド実行やPPPoE認証情報の取得、DNS設定の操作、リバースSSHなどの機能が報告されています。
DARKLANTERN：infosrvdというサービスとして動作し、UDP/9992で外部から通信を受け付ける仕組みです。認証処理に問題があり、外部からコマンドを実行される可能性があります。
root権限：Linuxなどのシステムで、ほぼすべての設定やファイルを操作できる最高レベルの管理者権限です。
C2サーバー：Command and Control Serverの略で、遠隔にある機器へ命令を送ったり、機器から情報を受け取ったりするために使われるサーバーです。
DNSハイジャック：Webサイトの名前と接続先を対応付けるDNSの情報を不正に変更し、利用者を本来とは異なる接続先へ誘導する手法です。
リバースSSH：内部の機器側から外部サーバーへSSH接続を開始し、その通信経路を利用して外部から機器へアクセスする方法です。
IoC：Indicator of Compromiseの略で、不正アクセスや侵害の痕跡を調査する際に手掛かりとなるIPアドレス、ドメイン、ファイルハッシュなどの情報です。
ホワイトラベル製品：あるメーカーが製造した製品を、別の会社が自社ブランドの製品として販売する形態です。

今回のようなケースでは、一般的な「ソフトウェアの脆弱性」だけでなく、ルーター内で動作するサービスや外部との通信そのものを確認する必要があります。製品名だけで判断せず、モデルやファームウェア、ネットワーク通信まで確認することが重要です。

ルーター内部で確認された2種類の遠隔操作経路

今回確認されたSPEAKINGSTONEとDARKLANTERNは、どちらも外部からルーターを操作することにつながる可能性がありますが、その通信方法には違いがあります。DARKLANTERNはinfosrvdというサービスとして動作し、UDP/9992で外部からの通信を受け付けます。元記事によると、ルーターの標準ファイアウォールでは、このポートがインターネット上の任意のアドレスから到達可能な状態になっていました。

DARKLANTERNには認証処理が用意されているものの、VulnCheckは固定された値や特定のMACアドレス値を利用することで確認処理を回避できると報告しています。その結果、攻撃者が対象機器へネットワーク経由で到達できる場合、事前にアカウントを取得したり、利用者に何らかの操作をさせたりすることなく、root権限でコマンドを実行できる可能性があります。

一方、SPEAKINGSTONEはyunmgrdとして動作し、ルーター自身がUDP/10000を使用して外部のC2サーバーへ通信します。外部から直接ルーターへ接続する方式ではなく、ルーター側から通信を開始するため、NAT環境の内側にある機器でも外部と通信できる点が特徴です。VulnCheckによると、その通信プロトコルにはroot権限での任意コマンド実行に加え、WAN側のPPPoEユーザー名とパスワードの取得、DNSハイジャックリストの読み書き、リバースSSHトンネルを開く機能などが含まれていました。

VulnCheckはCVE-2026-74232とCVE-2026-74233の両方をCVSS 4.0で9.3、CVSS 3.1で9.8と評価しています。どちらもネットワーク経由で攻撃でき、事前の権限やユーザー操作を必要としないとされています。企業で該当する機器を使用している場合には、単純な管理画面のパスワード変更だけではなく、外部との通信経路や実際に動作しているサービスを含めて確認する必要があります。

複数国でインターネットに公開された機器を確認

今回の問題は、研究者が入手した1台のルーターだけで確認されたものではありません。VulnCheckは2026年8月18日から8月21日にかけて、インターネット上からDARKLANTERNへ到達できる機器を調査し、22カ国で203件のインターネット公開インスタンスを確認したとしています。これらの機器は16種類のモデルを自己申告していました。ただし、この203件は「攻撃を受けて侵害された機器」の台数ではありません。VulnCheckが送信した調査用の通信に応答したホストの数であり、実際に第三者から不正操作を受けたことまで確認した数字ではない点には注意が必要です。

SPEAKINGSTONEでは、さらに別の方法で実機からの通信が確認されています。SPEAKINGSTONEにはプライマリのC2サーバーとは別に、プライマリC2が設定されていない場合に使用するバックアップ用ドメインがハードコードされていました。VulnCheckが調査した時点では、このバックアップドメインは登録されていなかったため、同社がドメインを取得し、プロトコルを解析して通信を受け取るサーバーを構築しました。その結果、サーバーの稼働開始後すぐにルーターからの通信が届き始めたと報告されています。

2026年8月21日時点では392台のユニークな機器から通信があり、そのうち390台が中国に所在していました。83％がChina Mobileのネットワーク上にあり、304台は「CMCC」で始まるSSIDを送信していたとされています。また363台がL3_V2_8、ファームウェア3.0.0.4.528と自己申告していました。ただし、この392台についても影響を受ける機器の総数ではありません。バックアップドメインへ接続するのはプライマリC2が設定されていない機器に限られるため、実際の影響範囲はこの数字より大きい可能性があります。

これらの調査結果は、対象となる仕組みが実際の稼働機器に存在し、ネットワーク通信を行っていることを示しています。一方で、確認された203件や392台という数字だけから、攻撃を受けた機器数や世界全体の影響台数を判断することはできません。企業が自社への影響を確認する場合には、公開台数の数字ではなく、自社で使用しているルーターのモデルやファームウェア、通信ログを個別に確認する必要があります。

ブランド名だけでは対象機器を判断できない可能性

今回、影響を受ける機器を特定する上で注意が必要なのが、製品表面に表示されたブランド名だけでは製造元を判断できない場合があることです。元記事によると、ZBTは同じハードウェアやファームウェアを販売事業者へ提供し、別のブランド名で販売されるホワイトラベル製品も展開しています。そのため、自社で使用しているルーターに「ZBT」や「Zbtlink」という名称が書かれていない場合でも、今回の問題と無関係だとは限りません。

VulnCheckが2つの仕組みを確認した実機も、その例のひとつです。研究者が米国の販売業者から88ドルで購入した製品は「Deep Orange 3G/4G/LTE Router」として販売されていましたが、実際にはZBT-WE826-T2をベースとするホワイトラベル製品だったとされています。搭載されていたファームウェアは2019年にビルドされたものでした。

The Hacker Newsは、ブランド名よりもモデル番号を確認する方が信頼性の高い方法だと説明しています。さらに2026年8月28日には、IEEEに登録されたMACアドレスのプレフィックスを調査し、78:A3:51とF8:5E:3CがShenzhen Zhibotong Electronicsに割り当てられていることを確認したとしています。MACアドレスの情報も、実際の製造元を確認するための手掛かりになる可能性があります。

一方で、同じZBT製ハードウェアを使用しているすべてのルーターに、今回の仕組みが必ず存在するという意味ではありません。VulnCheckは、同じプラットフォームを利用しながら独自のファームウェアを開発しているMOFI Networkのファームウェアイメージを調査したところ、今回の2つを含む3つの仕組みは確認されなかったとしています。影響確認ではブランド名だけでなく、モデル、ファームウェア、実際に稼働しているサービスや通信状況まで確認することが重要です。

修正版が明示されていない中で企業が取るべき対応

企業側で対応を検討する際に難しいのは、元記事公開時点でCVE-2026-74232とCVE-2026-74233について、問題を修正したと明確に示されたファームウェアリリースが公表されていないことです。VulnCheckのアドバイザリには影響するモデルとファームウェアが記載されていますが、アドバイザリでは対象ビルドが上限のように表示される一方、CVEレコードでは特定のファームウェアを個別のビルドとして記載し、それ以外を「unknown」としています。

このため、一覧に記載されたバージョンより新しいファームウェアを使用しているという理由だけで、安全と判断するのは避けた方がよいと考えられます。The Hacker Newsは2026年8月28日時点でZbtlinkのファームウェアダウンロードページが公開されており、8月17日付のファームウェアイメージが8件提供されていたことを確認しています。その中には、今回のアドバイザリに名前が挙がっているWE826-T2やWE2426-C向けのイメージも含まれていました。しかし、それらが今回の2件を修正したものかどうかは、元記事では確認されていません。

暫定的な対策として、DARKLANTERNが待ち受けるUDP/9992への外部からの通信をネットワーク境界で遮断することで、インターネット側からこのサービスへ直接接続される経路を閉じることができます。SPEAKINGSTONEについては、UDP/10000を使用した外向き通信や、公開されたC2関連ドメイン・IPアドレスへの接続を確認することが重要です。VulnCheckは調査にあわせてSuricataとYARAの検知ルールも公開しています。

なお、CVE-2026-74233の実際の悪用状況については、情報源ごとに扱いが異なります。VulnCheckは同CVEを自社のKnown Exploited Vulnerabilitiesカタログに掲載しています。一方、CISAのVulnrichmentでは2026年8月27日時点で悪用状況を「proof of concept」と評価しており、The Hacker Newsが8月28日に確認したCISAのKnown Exploited Vulnerabilities Catalogには、今回取り上げられた3件のZBT関連CVEは掲載されていませんでした。そのため、CISAが実際の攻撃での悪用を確認した脆弱性として扱っているわけではない点には注意が必要です。

企業や組織で該当する可能性があるルーターを利用している場合には、まずモデル番号とファームウェアを特定し、UDP/9992への外部到達性、UDP/10000などの外向き通信、関連するサービスやIoCの有無を確認することが重要です。また、対象ルーターのLAN側を無条件に信頼せず、重要な業務システムとの分離も検討しながら、製造元や販売元から正式な修正版や追加情報が公開されていないか継続的に確認することが望まれます。

参考文献・記事一覧

投稿者プロフィール

CyberCrew（サイバークルー）: CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。

■ 情報セキュリティサービス台帳登録事業者

■ セキュリティコンテスト受賞歴
CTF国際大会世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10

■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）