CVE-2026-26791

概要

GL-iNet GL-AR300M16 v4.3.11 に おいて、enable_echo_server 関数 の string port パラメータ に コマンド インジェクション の 脆弱性 が 発見 されました。攻撃者 が 細工 された 入力 を 送信 する こと で、任意 の コマンド を 実行 可能 です。

同 製品 に は さらに 2件 の 同種 の 脆弱性 が 報告 されて います:

• CVE-2026-26792（CVSS 9.8）: set_upgrade 関数 の 複数 パラメータ（modem_url, target_version, firmware_upload 等）
• CVE-2026-26795（CVSS 9.8）: get_system_log 関数 の module パラメータ

GL-iNet の IoT ルーター を 使用 して いる 場合 は、ファームウェア の 更新 を 確認 して ください。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: ベンダー から の 修正 ファームウェア を 確認 して ください
• 暫定回避策: ルーター の 管理 インターフェース へ の アクセス を 信頼 された ネットワーク に 制限 し、インターネット から の 直接 アクセス を 防止 して ください

関連リンク

• 脆弱性詳細 (enable_echo_server)
• NVD

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。