JPCERT/CCは、複数のZyxel製品に脆弱性があると公表した。対象はアクセスポイント（AP）、固定無線アクセス装置（FWA7）、セキュリティルーターなどのネットワーク機器で、コマンドインジェクションや不適切な認証処理に起因する問題により、外部からの不正アクセスや情報漏えい、機器の動作への影響につながるおそれがあるとして注意喚起している。本件は、Zyxelが公開したセキュリティアドバイザリおよび修正パッチを適用することで対処可能とされているが、一部製品ではパッチが今後提供予定とされている。詳細はZyxelが公表しているセキュリティアドバイザリおよびJPCERT/CC Weekly Report本文を参照する必要がある。
脆弱性の詳細
JPCERT/CCは、Zyxel製品に複数の脆弱性があると公表した。本件は複数の問題を含むため、影響の出方は製品・設定・公開状況（管理画面をインターネットに公開しているか等）によって変わり得る。JPCERT/CCによると、脆弱性を悪用されると、第三者が本来できない操作を行ったり、情報が取得されたり、機器が停止・不安定化したりする可能性がある。また、Zyxelが公開したセキュリティアドバイザリでは、認証後のコマンドインジェクションやキャプティブポータルにおける不適切な認証処理などが指摘されており、認証済み管理者による任意コマンド実行や、無線LAN上の攻撃者による認証回避の可能性が示されている。
注意：JPCERT/CC Weekly Report本文およびZyxelのセキュリティアドバイザリにはCVE番号およびCVSSスコアが記載されているが、ご提示の入力情報内にはこれらの記載がないため、本記事では具体的な番号・スコアを特定して記載できない。JPCERT/CCが公表した当該Weekly Report本文およびZyxelのセキュリティアドバイザリに記載のCVE番号・CVSSスコアを、社内の資産管理台帳や更新計画に転記して管理することが重要である。
JPCERT/CCは、攻撃者が脆弱性を突くことで被害が生じ得る点に留意するよう促している。特に、管理用インターフェースが外部公開されている、初期設定のまま運用している、更新が長期間止まっている場合は、悪用リスクが高まりやすい。Zyxelが提供する修正パッチが未適用のまま運用を継続している場合、攻撃者による不正操作や情報漏えいのリスクが継続するため、早急な対応が求められる。
影響を受ける製品・バージョン
- Zyxelが公表したセキュリティアドバイザリに記載のアクセスポイント（AP）、FWA7、セキュリティルーター等の製品群（具体的な機種・ファームウェアバージョンはZyxelのセキュリティアドバイザリおよび当該Weekly Report本文に記載）
推奨される対策
- ベンダーが提供する修正（アップデート）を適用：JPCERT/CCによると、影響を受ける製品ではZyxelが提供するセキュリティアドバイザリに基づき、修正済みファームウェアへの更新やパッチを適用することが推奨される。なお、一部製品では修正パッチが今後提供予定とされているため、継続的にベンダー情報を確認することが重要である。
- 管理画面の露出を最小化：JPCERT/CCの注意喚起を踏まえ、管理画面をインターネットへ直接公開している場合は停止し、社内ネットワークやVPN経由のみに限定する。ファイアウォールやアクセス制御リスト（ACL）により、管理用インターフェースへアクセス可能な端末・ネットワークを限定する。
- 不要機能の停止：リモート管理など、業務上不要な機能は無効化し、攻撃の入口を減らす。特に、キャプティブポータル機能や外部管理用プロトコル（リモート管理用HTTP/HTTPS、Telnet/SSH等）のうち不要なものは停止することが望ましい。
- 認証情報の見直し：初期パスワードや共通パスワードの運用がある場合は、強固なパスワードと多要素認証（利用できる場合）へ変更する。管理者アカウントの使い回しを避け、不要アカウントは削除する。
- ログ監視と棚卸し：不審なログインや設定変更、再起動などの兆候を確認し、機器の台数・設置場所・バージョンを棚卸しする。過去のログにおいて不審な管理者ログインや、意図しない設定変更がないかを確認し、異常があればインシデント対応プロセスに従って調査する。
日本の中小企業が今すぐ取るべき行動
- 最優先：該当機器の有無を特定：拠点・店舗・テレワーク用なども含め、Zyxel機器の型番とファームウェア（ソフト）版を台帳化する。ZyxelのセキュリティアドバイザリおよびJPCERT/CC Weekly Reportに記載の対象機種と照合できるように整理しておく。
- 次に：更新可否を判断：JPCERT/CCが公表した対象機種・対象バージョンに該当するかを確認し、該当する場合は保守担当またはベンダー窓口に更新手順を確認する。サービス影響を考慮しつつ、業務への支障が最小になる時間帯でのアップデート計画を立てる。
- 暫定対応：管理画面の公開を止める：すぐに更新できない場合でも、管理画面の外部公開停止、アクセス元制限、VPN経由のみへ変更する。インターネット側からの管理ポートへの通信を遮断し、必要な場合のみ一時的にアクセスを許可する運用とする。
- 点検：不審な挙動の有無を確認：最近の設定変更、未知の管理者追加、想定外の通信、再起動の頻発がないかログを確認する。万が一不審な挙動が確認された場合は、被害範囲の特定、ログの証拠保全、関係者への報告など、インシデント対応手順に従って対処する。
- 再発防止：更新運用のルール化：四半期ごとの更新点検日、緊急時の即時適用基準、担当者不在時の代替手順を決める。ZyxelやJPCERT/CCが公開するセキュリティ情報を定期的に確認し、重要なセキュリティアップデートが出た場合に迅速に対応できる体制を整える。
CSRIからの現場アドバイス
実際のペネトレーションテストでは、ネットワーク機器の管理画面が外部から到達できる状態のまま、更新が止まっているケースが多く見つかる。診断報告書でよく指摘されるのが、保守切れ・担当不在でパッチ適用が後回しになる運用だ。
例えるなら、社内の重要な扉の鍵穴に「古い合鍵が通る欠陥」が見つかったようなものだ。つまり、いまの設定や古いままの機器だと、第三者が正規の手順を踏まずに中へ入り、設定変更や情報取得をされ得るということだ。
まず機器の型番とソフトの版を確認し、JPCERT/CCが公表した対象かどうかを整理する。次に担当者または保守ベンダーへ更新手順と停止時間を依頼し、今週中に更新日程を確定する。更新までの間は管理画面の外部公開を止め、アクセス制限を入れる。