エレコム製Wi-Fiルーターに脆弱性　玄関の鍵が壊れたまま気づいていないだけ

まず初めに

結論から言う。ルーターは家の玄関に置いてある、常時接続の無人受付だ。ここが乗っ取られたら、家の中のあらゆる機器に第三者が出入り自由になる。対象製品を使っているなら、今日の更新作業は他の何より優先していい。※個人の感想です

何が起きているのか

エレコムは公式サイトで、無線LANルーター2製品と、法人向けを含む無線アクセスポイント5製品、あわせて7製品に複数の脆弱性が存在すると発表しました。第三者向けの脆弱性情報データベースJVNにも同日、同じ内容の情報が登録されています。

対象製品は次の通りです。

• 無線LANルーター: WRC-X3000GS3-B、WRC-X3000GS3A-B
• 無線アクセスポイント: WAB-M1775-PS、WAB-S1775、WAB-M2133、WAB-I1750-PS、WAB-S1167-PS

見つかった脆弱性は3件で、いずれも設定画面や設定の復元機能に関わるものです。製品の管理画面にログインできる第三者が、本来許可されていない操作（任意のコマンドの実行や、意図しないスクリプトの実行）を行える可能性があるとされています。

なぜ重要なのか

無線LANルーターは、家庭や会社のインターネット接続の入り口にあたる機器です。ここが乗っ取られると、その先につながっている他の機器の通信内容を見られたり、機器を別の攻撃の踏み台にされたりする可能性があります。

パソコンやスマートフォンのセキュリティには気を配っていても、その接続の起点であるルーター自体の設定は見落とされがちです。どれだけ端末側の対策を固めても、入り口のルーターが破られていれば、その内側を通る通信は等しく危険にさらされます。

私たちへの影響

対象製品のうちWRC-X3000GS3-BとWRC-X3000GS3A-Bは、家庭向けに販売されている無線LANルーターです。自宅で、あるいは家族や知人が使っている可能性もあります。

対象のアクセスポイント5製品は主に法人向けの製品ですが、職場のネットワークを管理している人にとっては見過ごせない内容です。特に法人向けアクセスポイントは、一度設置されると長期間そのまま使われ続ける傾向があり、管理者以外の従業員はその存在自体を意識していないことも珍しくありません。

初心者が知っておくべきこと

自分の使っている機器が対象かどうかは、本体の底面や側面に記載されている型番で確認できます。対象製品であれば、エレコムの公式サポートサイトから、修正済みのファームウェアをダウンロードして適用してください。

ファームウェアとは、ルーターなどの機器に内蔵されていて、動作の基本部分を制御しているソフトウェアのことです。パソコンやスマートフォンのOSアップデートと同じように、機器そのものを直接修理する更新だと考えると分かりやすくなります。

更新の手順は機種によって異なりますが、多くの場合、機器の管理画面（ブラウザで特定のアドレスを開くと表示される設定画面）からファイルを読み込ませる形で行います。手順が分からない場合は、エレコムのサポートサイトの案内に従ってください。

管理画面のパスワードもあわせて確認する

今回の脆弱性は管理画面へのログインを起点とするものですが、あわせて管理画面のパスワードが初期設定のままになっていないかも確認しておくと安心です。ルーターの管理画面パスワードは、購入時のまま変更されずに使われているケースが少なくありません。ファームウェアを最新にすることと、管理画面への入り口自体を固めることは、どちらか一方では不十分で、両方そろって初めて効果を発揮します。

「うちは大丈夫」と思う前に

型番を確認せず「うちは違うメーカーだから関係ない」と読み飛ばしてしまう人もいますが、この種の発表は製品によって対象・非対象がはっきり分かれています。自宅や職場のルーターの型番を、実際に本体を見て確認するひと手間を惜しまないでください。型番の確認自体は数十秒で終わる作業です。

ルーターの更新は後回しにされやすい理由

スマートフォンやパソコンは、更新通知が画面に表示されるため、後回しにしていてもいずれ目に入ります。一方でルーターは、いったん設置してしまうと画面を見る機会がほとんどなく、通知に気づく仕組み自体がない機種も多くあります。この「見えない場所で動き続ける機器」という性質こそが、ルーターの更新が他の機器に比べて後回しにされやすい最大の理由です。メーカーの発表を定期的に確認する以外に、この見えなさを補う方法は今のところありません。

IT Postの見方

IT Postでは、この種の脆弱性情報は「専門的で自分には関係ない」と読み飛ばされやすい一方、影響を受けるのは家庭のルーターを直接操作しない人も含めた、その回線を使う全員である点を重視すべきだと考えます。

ルーターの管理は、家庭内では一部の人にしか意識されていないことが多いです。買い替えのタイミングや設定を任せている家族・同居人がいる場合は、この情報を共有しておくことをおすすめします。「詳しい人に任せてある」という安心感は、その詳しい人がこの発表を見ていなければ、ただの思い込みで終わります。玄関の鍵を任せた相手が、鍵が壊れていることに気づいていなければ、任せた意味はありません。※個人の感想です

今後どうなりそうか

エレコムはこれまでも複数回、同様の脆弱性情報とファームウェア更新の案内を公開してきました。ネットワーク機器の脆弱性は今後も継続的に見つかり、修正されていくと考えられるため、購入時だけでなく、使用中も定期的にメーカーの発表を確認する習慣が実用的です。