NECのルーター「UNIVERGE IX-R/IX-V」シリーズに深刻な脆弱性、WebGUIの認証回避が可能に。対策済みソフトへの更新呼びかけ

NECは、企業向けルーター「UNIVERGE IX-R/IX-V」シリーズのWebGUI（ウェブ管理画面）において、認証を回避して任意のコマンドを実行されるおそれがある深刻な脆弱性（CVE-2026-16876）が存在すると発表し、対策済みソフトウェアへの更新を呼びかけた。対象機器を運用する利用者は速やかな確認と適用が求められる。

事案の詳細

今回の発表は、NECのルーター「UNIVERGE IX-R/IX-V」シリーズのWebGUIにおいて、重要な機能に対する認証の欠如に起因する脆弱性が確認されたことを受けたもので、攻撃者が細工したWebGUIメッセージを対象製品に送信した場合、認証なしで任意のコマンドを実行される可能性があるという。脆弱性はCVE-2026-16876として登録されており、CVSS v3.0の基本値は9.4、CVSS v4.0の基本値は9.3と評価されている。

対象となる製品は「IX-R2510」「IX-R2520」「IX-R2530」「IX-R2610-4G」および「IX-V100」で、対象ソフトウェアのバージョンは以下のとおりとされている。

• Ver1.1〜Ver1.3の全バージョン
• Ver1.4.21〜Ver1.4.28の全バージョン
• Ver1.5.23

NECは、脆弱性への対処として、同シリーズ向けに脆弱性対策済みのソフトウェアを提供しており、UNIVERGE IX-R/IX-VシリーズともにVer1.4.34およびVer1.5.29以降のバージョンで本脆弱性が修正されていると案内している。利用者に対しては、これら対策済みバージョンへの更新を強く推奨している。

本件は「対策済みソフトウェアに更新を」という呼びかけが中心であり、利用者側でのソフトウェア更新が前提となる。対象機器を管理する組織は、運用中の機器が該当するかどうかを確認し、適切な更新作業を進める必要がある。

影響と背景

ルーターは社内外の通信を中継する要となる機器であり、脆弱性がある状態で運用が続くと、組織のネットワーク運用に深刻な影響を及ぼすおそれがある。今回明らかになった脆弱性では、WebGUIに対して認証なしで任意のコマンドを実行され得るため、設定の改ざんや機器の不正操作、ネットワーク全体への侵害の足掛かりとして悪用されるリスクがある。

NECがCVSSスコア9台という「深刻」レベルの評価を付したうえで注意喚起し、対策済みソフトウェアへの更新を案内していることからも、対象機器を利用する現場では優先度の高い対応事項として扱うことが重要だ。インターネットに直接公開されているルーターや、遠隔から管理可能な環境では、攻撃を受けた場合の影響範囲が広がることから、特に早急な対応が求められる。

対策・今後の展望

• 対象確認：運用中のルーターが「UNIVERGE IX-R/IX-V」シリーズの「IX-R2510」「IX-R2520」「IX-R2530」「IX-R2610-4G」「IX-V100」に該当するかを管理台帳や機器の表示で確認し、あわせて稼働中のソフトウェアバージョンが脆弱性の影響を受けるバージョンかどうかを確認する。
• 更新実施：NECが提供する脆弱性対策済みソフトウェア（Ver1.4.34、Ver1.5.29以降など）へ計画的に更新する。更新作業にあたっては、事前に設定バックアップを取得し、メンテナンス時間帯を確保したうえで実施することが望ましい。
• 運用手順の徹底：更新に伴う作業計画や適用後の動作確認など、機器管理の手順を再点検する。加えて、すぐに更新できない場合の暫定的な回避策として、HTTP(S)サーバー機能（WebGUI）の停止、フィルタ機能による管理画面への接続元IPアドレスの制限、IPアドレスやTCPポート80/443の番号を予測されにくい値に変更するといった対処を検討し、攻撃面の縮小を図ることが推奨される。

CSRIからの現場アドバイス

【観点①：現場で何が起きているか】CSRIが支援する中小企業の診断現場では、ルーターやUTMなど境界機器のソフト更新が長期間止まったままのケースが多く見られる。MDR運用でも「外部公開機器の更新遅れ」が是正されず、注意喚起後に慌てて棚卸しが始まる流れが繰り返されがちだ。今回のように、認証を回避され重大な操作を実行され得る脆弱性では、更新の遅れがそのまま侵害リスクの高さにつながる。

【観点②：平易な解説】今回の脆弱性は、例えるなら会社の“正面玄関の鍵”に不具合が見つかったようなものだ。本来であれば鍵を持っている人だけが通れる入り口を、鍵なしで開けられてしまう状態に近い。つまり、通信の出入口を担う機器に問題があると、社内のPCが最新の状態であっても、入口側から侵入される可能性がある。だからこそ、メーカーが示す更新を速やかに適用することが、最も基本的かつ重要な対処になる。

【観点③：今週中にできること】まず、社内で使っているルーターの機種名が「UNIVERGE IX-R/IX-V」のうち「IX-R2510」「IX-R2520」「IX-R2530」「IX-R2610-4G」「IX-V100」に該当するかを管理台帳や機器の表示で確認し、該当した場合はソフトウェアバージョンも併せて確認して、脆弱性の影響を受けるバージョンであれば更新が必要な機器として担当者に共有する。次に、NECが案内する対策済みバージョンへの更新作業の日時を決め、可能であれば回避策（WebGUIの無効化やアクセス制限など）も検討する。適用後に通信や業務システムが通常どおり行えるかを社内で簡単に確認する流れまで用意しておきたい。

参照: NECのルーター「UNIVERGE IX-R/IX-V」シリーズに深刻な脆弱性、対策済みソフトウェアに更新を