中国ZBT製ルーターに未認証でroot権限を奪われる2つのインプラントが発覚、脆弱性調査機関が公表

要点

• セキュリティ調査機関のVulnCheckが、中国のShenzhen Zhibotong Electronics（ZBT）製ルーターのファームウェア内に、未認証でroot権限のコマンド実行を許す2つのインプラントを発見したと公表した。

• 発見されたインプラントは「SPEAKINGSTONE」および「DARKLANTERN」と命名され、共通脆弱性評価システム（CVSS 3.1）でともに深刻度の高い9.8と評価されている。

• SPEAKINGSTONEは外部の指令サーバーへ自動接続してNATや一般的なフィルタリングを通過し、DARKLANTERNは初期設定のファイアウォールをすり抜けて外部からの接続を受け入れる構造を持つ。

• ZBT製ハードウェアは別ブランドのホワイトラベル製品としても広く流通しており、修正版ファームウェアの情報が明示されていないため影響範囲の確認が重要視されている。

• セキュリティ調査機関の米VulnCheckは2026年8月28日、中国の通信機器メーカーShenzhen Zhibotong Electronics（以下、ZBT）が製造したルーターのファームウェア内に、これまで存在が文書化されていなかった2つの工場出荷時インプラント（不正な埋め込みプログラム）が含まれていることを明らかにした。

• これらのインプラントを悪用されると、認証を受けていない遠隔の攻撃者が対象機器上でroot権限（最高管理者権限）を用いて任意のコマンドを実行できる状態になるという。

• 同社は両インプラントに脆弱性識別番号として「CVE-2026-74232」および「CVE-2026-74233」を割り当て、共通脆弱性評価システムであるCVSS 4.0で9.3、CVSS 3.1で9.8という極めて高い深刻度スコアを付与している。

遠隔監視と認証情報の窃取を行う「SPEAKINGSTONE」

「CVE-2026-74232」として管理される「SPEAKINGSTONE」は、機器内部でyunmgrdというサービス名で稼働する。このインプラントは、UDPポート10000を介してファームウェア内にハードコード（直接記述）されたC2サーバー（遠隔操作用の指令サーバー）に向けて定期的にビーコン（生存通知信号）を発信する。
端末側から外部に向けて能動的に通信を開始するため、NAT（プライベートIPアドレスとグローバルIPアドレスを相互変換する技術）配下の環境や一般的な送信フィルタリングが設定されているネットワークであっても制限を受けずに動作するという。

このインプラントが備える通信プロトコルには、root権限での任意のコマンド実行をはじめ、WAN側のPPPoE接続で使われるユーザー名やパスワードの外部送出、DNSのハイジャック（通信宛先の不正書き換え）リストの読み書き、さらには内部ネットワークへ侵入するためのリバースSSHトンネルの開設といった機能が組み込まれている。VulnCheckは本インプラントについて、稼働するすべての機器に対してrootアクセス権を持つ監視用インプラントであると説明している。

また、SPEAKINGSTONEにはプライマリのC2サーバーが設定されていない場合に備え、ハードコードされた予備のドメイン名が用意されていた。VulnCheckが調査の一環として未登録だったこのドメインを取得し、プロトコルをリバースエンジニアリングして作成した検証用サーバーを稼働させたところ、即座に機器からのビーコン受信が始まったという。
同社の報告によると、2026年8月21日時点で392台の固有デバイスからのアクセスが確認された。そのうち390台が中国国内に位置しており、全体の83%が中国移動（China Mobile）の回線を利用していたほか、304台が「CMCC」から始まるSSID（無線LANの識別名）を発信しており、363台が「L3_V2_8」というモデル（ファームウェアバージョン3.0.0.4.528）であったと報告されている。なお、予備ドメインへ接続するのはプライマリサーバーが未設定の機器に限られるため、確認された392台は影響を受ける機器全体の総数ではなく、一部の最小値に過ぎないと指摘されている。

外部からの無認証侵入を許す「DARKLANTERN」

もう一つのインプラントである「DARKLANTERN（CVE-2026-74233）」は、ルーター内部でinfosrvdというサービスとしてUDPポート9992で待ち受けを行う。ルーターの初期設定における標準ファイアウォールは、インターネット上のあらゆるアドレスからこのポートへの着信通信を許可する構成になっているという。

このサービスには認証処理が組み込まれているものの、ファームウェア内に固定されたソルト（暗号処理用の固定値）が使われているほか、すべてのビットがゼロのワイルドカードMACアドレスを指定することで自身のアドレス確認処理を回避できる仕組みになっており、VulnCheckのアドバイザリでは実質的に機能していないと評価されている。
VulnCheckが2026年8月18日から8月21日にかけてインターネット経由で応答確認通信（プローブ）を送信して調査したところ、22カ国にわたり203件のDARKLANTERNインスタンスが外部に露出していることが確認された。応答があった機器からは16種類の異なるモデル名が申告されていたという。

ホワイトラベル製品への波及と影響機器の確認方法

今回のインプラントは、VulnCheckが米国のサプライヤーから88ドルで購入した「Deep Orange 3G/4G/LTE Router」を調査する中で発見された。この製品は2019年にビルドされたファームウェアを持つ「ZBT-WE826-T2」のホワイトラベル製品（他社ブランド向けに供給される製品）であった。このビルドは、同社が2026年8月5日に公開したZbtlinkルーター20モデル以上に影響するコールホームインプラント「ENDLESSDOORS（CVE-2026-66747）」よりも前の時期に作られたものであるとされる。

公開されたアドバイザリでは、以下のモデルやファームウェアが影響対象として挙げられている。

• DARKLANTERN（CVE-2026-74233）: Zbtlink WE1326、WE357、WE5926、WE5926-WD、WE826-Q、WE826-T2、WE826-WD、WG108、WG3526（ファームウェア19.1101）、WE2426-C（19.1112）、WE5926-EC_QP（20.0516）、WF3526-P（19.051）、ならびに未特定ベンダー名義のCTN720-W1、LF-1541、MT7620N（19.1101）、WRC1（20.0622）など
• SPEAKINGSTONE（CVE-2026-74232）: Zbtlink L3_V2_8（3.0.0.4.528）、WE826-T2（19.1101）、ZBT-7628（1.0.0.2.007）、ZBT-ZBT7621（1.0.0.3.001）、MoreQuick MQAC-7620、MQAC-7620A、MQAP-7620、MQAP-7620A、MQAP-7628（1.0.0.2.000）、AP522（1.0.0.2.014）、AP7628およびHC5661A（3.0.0.4.380）、APG721B（19.0809）、HK300（1.0.0.2.032）、MAP-N10（1.0.0.2.044）など

アドバイザリではこれらのビルド番号が上限として示されている一方、CVEレコード側では単一の特定ビルドとして登録され、それ以外のバージョンはステータスが「不明」とされている。また、いずれのアドバイザリにも修正版ファームウェアのリリースに関する記載がなく、リスト以外のバージョンを使用している所有者が自身の機器に脆弱性が存在するかを公的な情報から判断することは難しい状況となっている。

ZBT社は同じハードウェアやファームウェアをリセラー（再販業者）へ卸しており、販売元が独自のブランド名を付けて販売するケースが多い。そのため、機器の特定にはブランド名ではなくモデル番号を参照することが確実とされる。また、IEEEの登録データベースによると、MACアドレスの先頭識別番号である「78:A3:51」および「F8:5E:3C」はShenzhen Zhibotong Electronicsに割り当てられており、機器自体のMACアドレスから製造元を判別することが可能であることが確認されている。