TP-Linkルーター Archer BE450/BE7200にOSコマンドインジェクション脆弱性CVE-2026-5509、JVNが公表

「TP-Linkのルーターって会社でも家庭でも使っていますが、急に脆弱性のニュースが出てきて不安です。
このまま使い続けて大丈夫なのでしょうか？」

チップス

ボス、JVNにTP-LinkのArcherシリーズで「OSコマンドインジェクション」って書いてあるんでしゅけど、これって何が危ないんでしゅか？

ボス

ふむ、いい質問だな。OSコマンドインジェクションは、ルーター内部で動くLinuxに対して攻撃者がコマンドを直接送り込める脆弱性だ。家庭や中小オフィスでArcher BE450やBE7200を入れている所は要注意だな。

本記事では、2026年6月2日にJVNが公表したTP-Link製ルーターの脆弱性CVE-2026-5509について、攻撃シナリオから具体的な対策まで整理していきます。

読み終わるころには、自社や自宅で使っているルーターを今すぐ点検すべきかが判断できるようになります。

事件の概要：CVE-2026-5509とは何か

JVNは2026年6月2日、TP-Link製Wi-Fi 7ルーターに高危険度の脆弱性が確認されたと公表しました。

影響を受ける製品とCVSSスコア

今回の脆弱性CVE-2026-5509は、Archer BE450 v1とArcher BE7200 v1のいずれも、ファームウェア1.3.0 Build 20260416より前のバージョンが対象です。
CVSS v4.0の基本値は8.5、v3.1でも6.8と中〜高水準で評価されています。
株式会社ゼロゼロワンの早川宙也氏によって報告された問題で、CWE-78「OSコマンドインジェクション」に分類されています。

具体的な影響は以下のようにまとめられます。

チップス

認証された後でしか実行できないなら、安全なんじゃないでしゅか？

ボス

そこが落とし穴だな。管理パスワードを初期値のままにしていたり、リモート管理を有効にしていると、攻撃者は容易に認証を突破してくる。CVSSで「攻撃元区分が隣接」となっているのも、Wi-Fi圏内なら攻撃可能という意味だ。

攻撃の仕組みと家庭・企業へのリスク

OSコマンドインジェクションがルーターで悪用されると、通常のWebサイト改ざんとは比較にならない深刻な被害につながります。

想定される攻撃シナリオ

攻撃者は、まずWi-Fi圏内に侵入するか、リモート管理画面にアクセスして認証を試みます。
パスワード推測や使い回しによって認証を突破すると、設定画面の入力欄を悪用し、任意のOSコマンドをルーターのLinux上で動かせます。
一度コマンド実行に成功すれば、DNS設定を書き換えて偽サイトへ誘導したり、内部端末への通信を傍受するなど、ネットワーク全体を支配できる状態に陥ります。

攻撃の影響は次の表のように整理できます。

チップス

家のルーターひとつでここまで被害が広がるんでしゅか…怖いでしゅ。

ボス

ルーターは家庭・企業ネットワークの入口にあたる。そこを乗っ取られると、内部の防御が無力化されてしまうのだ。だからこそ、すぐに対策を打つ必要がある。

取るべき具体的な対策

JVNと開発元は、ファームウェアを最新版へ更新することを推奨しています。
あわせて、運用面でも見直すべきポイントがいくつかあります。
家庭・企業ともに以下を実施することで、攻撃が成立する余地を大きく減らせます。

詳細はJVN VU#95687008で確認できます。

まとめ：ルーターは「アップデートする家電」と考える

今回のCVE-2026-5509は、家庭や中小オフィスで広く使われるTP-LinkルーターでもOSコマンドインジェクションが起きうることを改めて示しました。
ファームウェア更新、強固なパスワード設定、リモート管理機能の最小化が、被害を防ぐための基本となります。
ルーターは設置したら終わりではなく、定期的な更新と棚卸しが必要な「アップデートする家電」と捉え直すべきです。

チップス

家でもうちの会社でも、まずファームウェアを確認してみるでしゅ！

ボス

その姿勢が大事だな。基本を徹底すれば、たいていの脅威は防げる。