NEC AtermにXSS脆弱性CVE-2026-6059、Wi-Fiルーター9機種で管理画面スクリプト実行のリスク

「うちの会社、Aterm WX1800HPを部署のWi-Fiに使ってるんでしゅが、XSSって何が起きるんでしゅか？」
「管理画面のXSSって、ルーターの設定が書き換えられたりするんでしゅか？」

チップス

ボス、NV26-002って今度はAtermのXSS脆弱性なんでしゅか？うちで使ってるWX5400HPも対象に入ってるんでしゅけど…

ボス

そうだな、CVE-2026-6059として9機種が公表されている。CVSSは4.8と中程度だが、管理者ブラウザでスクリプトを実行できる以上、設定改ざんの起点になり得る。軽視はできん。

2026年5月25日、JPCERT/CCがNEC AtermシリーズのクロスサイトスクリプティングCVE-2026-6059を公表しました。
本記事では、対象機種、攻撃が成立する条件、運用面で確認すべきポイントを整理していきます。

Wi-Fiルーターの管理画面は普段あまり開きませんが、攻撃者は管理者がアクセスする瞬間を狙ってきます。
事件の概要、XSSの悪用パターン、対象機種利用者が今すぐ取るべき対策を順に見ていきます。

事件の概要：WX1800HPなど9機種でWeb管理画面のXSSを確認

JPCERT/CCはJVN#69049186として、Atermシリーズ9機種に存在するXSS脆弱性を公表しました。

対象機種と影響範囲の整理

影響を受けるのはAtermブランドの家庭・SMB向けWi-Fiルーターで、人気機種のWX1800HPやWX5400HPも含まれます。
主な対象と修正バージョンは以下の通りです。

チップス

CVSSが4.8って、そんなに高くないんでしゅよね？OSコマンドの方を優先すれば後回しでもいいんでしゅか？

ボス

スコアだけで判断するのは危険だ。XSSは単体の被害は限定的でも、管理者セッションを乗っ取れば設定変更やDNS書き換えへとつながる。複合攻撃の入口として侮るな。

XSSが管理画面で悪用される仕組みと現実的なリスク

ルーター管理画面のXSSは、攻撃者が用意したURLを管理者に開かせるだけで成立する場合があります。

想定される攻撃シナリオ

管理者ブラウザでスクリプトが実行できれば、設定変更や認証情報の窃取まで攻撃の射程に入ります。
典型的な攻撃の流れは以下の通りです。

利用者が取るべき具体的な対策

ファームウェア更新を最優先にしつつ、管理画面の運用ルールを見直すと安全性が大きく高まります。
推奨される対策は以下の通りです。

チップス

専用ブラウザで管理画面を開くって、地味でしゅけど効きそうでしゅね！

ボス

ふふふ、地味な分離が一番強い。SNSや業務閲覧と同じブラウザにルーター管理画面を出すのは、それだけでリスクが上がるからな。

まとめ：CVSS 4.8でも管理画面XSSは複合攻撃の起点になる

Aterm 9機種に確認されたCVE-2026-6059は、単体のスコアこそ4.8ですが、管理者セッションを乗っ取れば設定改ざんやDNS変更へ容易に発展する性質を持ちます。
家庭用ルーターでも企業ネットワークの一部として運用されるケースは珍しくありません。
該当機種を確認し、ファームウェア適用と管理画面の運用見直しを併せて進めましょう。

参考: JVN#69049186（JPCERT/CC）