OpenWrtのDHCPv6に深刻な脆弱性、root権限でのコード実行の恐れにより修正版リリース

要点

• OpenWrtは、デフォルトのネットワークサービス「odhcpd」における深刻な脆弱性を修正した「バージョン24.10.8」および「25.12.5」を公開した。
• 脆弱性「CVE-2026-53921」はCVSS 3.1で最高値に近い「9.8」と評価されており、認証されていない攻撃者がネットワーク経由でroot権限のコードを実行できる恐れがある。
• 多くの組み込み機器には「スタックカナリア」や「ASLR」といったメモリ保護機能が備わっていないため、コード実行のリスクが現実的であると警告されている。
• 今回のリリースでは境界外書き込みや蓄積型XSSなど複数の不具合も修正されたが、一部のLuCI（ウェブ管理画面）に関する修正は依然としてレビュー中である。

リード文

ルーター用OS「OpenWrt」の開発プロジェクトは、デフォルトで稼働するIPv6関連のネットワークサービスに存在する深刻な脆弱性を修正した最新バージョンをリリースした。今回のアップデートは、認証されていない第三者による遠隔からの任意のコード実行やデバイスの完全制御につながるリスクに対処するものである。発表は2026年7月28日に行われ、対象ユーザーへ速やかな更新が呼びかけられている。

脆弱性の原因と影響

今回修正された脆弱性のうち、最も深刻なものは「CVE-2026-53921」である。この脆弱性は、深刻度を評価する基準であるCVSS 3.1において、10点満点中「9.8」という極めて高い深刻度（Critical）に分類されている。

問題は、デフォルトで稼働するIPv6サービス「odhcpd」（IPアドレスを自動割り当てするプログラム）内で発生する。odhcpdが「DHCPv6」（通信設定を自動配布する規格）の要求を処理する際、特定の要求によって「スタックバッファオーバーフロー」（メモリ領域の制限を超えてデータが書き込まれる不具合）を引き起こす。

細工されたリクエストが送信されると、固定の512バイトスタックメモリ領域に十分な境界チェックがないままデータが追加され、プログラムが意図しない動作をする。odhcpdは最上位の管理者権限である「root権限」で動作しているため、脆弱性が悪用されるとルーター全体の制御が奪われる恐れがある。

さらに、多くの組み込み機器では一般的な「スタックカナリア」（改ざん検知で動作を停止させる仕組み）や「ASLR」（メモリ配置をランダム化して攻撃を防ぐ技術）といった保護機能が備わっていない。このため、現実のデバイス上では悪意あるコードの実行が容易に成功する可能性が高いと指摘されている。攻撃に必要なのはUDPポート547へのアクセスのみで、事前のログインなどは不要だ。

悪用状況と公開された検証用プログラム

7月28日の発表時点で、この脆弱性が実際のサイバー攻撃（野生での悪用）に使用されたという報告はなく、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「KEV（既知の悪用された脆弱性カタログ）」の2026年7月27日版にも掲載されていない。ただし、カタログへの未掲載がこれまで悪用されていないことを保証するわけではない。

すでにGitHub上のアドバイザリでは、本脆弱性を検証するためのPythonによる「PoC（実証コード、脆弱性が実際に再現できることを証明するプログラム）」が公開されており、単一の細工されたリクエストなどで脆弱性が再現できることが示されている。

同時に対処されたその他の脆弱性

今回のアップデートでは、odhcpdの境界外書き込みやメモリの解放後使用、サービス拒否（DoS）などが修正された。

また、ウェブサーバー「uhttpd」で「HTTP要求スマグリング」（要求の解釈の差異を突く攻撃）を引き起こす3つの不具合や、LuCIの管理画面を開いた際に「XSS（クロスサイトスクリプティング、悪意あるスクリプトを実行させる攻撃）」が発生する脆弱性「CVE-2026-62948」も解消された。

さらに、ファイル入出力を補助する「cgi-io」では、認証済みの管理者がシステム内の任意のファイルを読み取れる「パストラバーサル」の脆弱性「CVE-2026-62947」が修正されている。

LuCIに関する修正の進捗とユーザーへの対応推奨

今回のリリースと並行して、セキュリティ組織「Hacker House」によるAIを用いた監査が実施され、オプションのLuCIコンポーネント内にコマンドインジェクションやパストラバーサルの脆弱性が発見された。これらを受けた修正作業中に、OpenWrt開発チームは別の蓄積型XSSや「CSRF（意図しない操作を強制する攻撃）」保護の欠如も確認している。ただし、これらのLuCI向け修正は今回のリリースには含まれず、レビュー段階にある。

なお、OpenWrt「24.10」シリーズは2026年9月にサポート終了（EOL）を迎えるため、開発プロジェクトは「25.12」シリーズへの移行を推奨している。当面の対策として、24.10ブランチのユーザーは「24.10.8」、25.12のユーザーは「25.12.5」へ速やかにファームウェアを更新することが推奨されている。