CVE-2026-15340

30秒で判断

• 対応すべき人: lwIPのSMTPクライアント機能を組み込み・IoT機器やファームウェアで利用している方
• 対応不要な人: lwIPを使用していない、またはSMTPクライアント機能を利用していない方
• 確認コマンド: ファームウェア・製品のビルド設定でlwIPのSMTPクライアント機能が有効になっているかを確認

概要

CVE-2026-15340 は、組み込み機器やIoT製品で広く利用される軽量TCP/IPスタック lwIP に存在する脆弱性です。

lwIPのSMTPクライアントが入力サイズを検証していないという不備があり、悪意あるデータを処理させることでバッファオーバーフローを引き起こされる可能性があります。SMTPクライアント機能は、組み込み機器がメール通知を送信する用途などで利用されることがあり、該当機能が有効な製品では攻撃の対象となり得ます。

CVSSと攻撃の前提

影響を受けるソフトウェア

公開データには具体的な修正バージョンの記載がありません。CISA ICS Advisory（ICSA-26-279-02）を参照してください。

修正バージョンと回避策

• CISA ICS Advisory（ICSA-26-279-02）を確認し、lwIPの最新リリースへの更新を検討してください。
• 更新が難しい組み込み機器では、SMTPクライアント機能自体の利用を無効化することでリスクを低減できます。
• ファームウェア提供元（機器ベンダー）が別途アドバイザリを出している場合は、その指示に従ってください。

関連リンク

• CISA ICSA-26-279-02
• NVD: CVE-2026-15340

データソース: NVD (NIST), CISA ICS Advisories AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。