CyberSecurityAction

脆弱性情報 / 日本関連インシデント

NEC UNIVERGE IX-R/IX-VルータにCVSS 9.4の認証欠如—WebGUI経由で任意コマンド実行が可能

日本電気（NEC）製の中小企業・店舗向けルータUNIVERGE IX-Rシリーズ／仮想環境向けIX-VシリーズにCVSS 9.4の深刻な脆弱性（CVE-2026-16876）。WebGUIへ認証なしに細工したリクエストを送るだけで任意コマンドを実行できる。

喜村 圭佑（編集責任者）更新 約5分

SHARE

XB!in
NEC UNIVERGE IX-R/IX-VルータにCVSS 9.4の認証欠如—WebGUI経由で任意コマンド実行が可能

THREAT GAUGE算出基準

IMPACT（影響範囲）8.5
URGENCY（対応緊急度）9.0
EXPLOIT（悪用の容易さ）8.0

“CVSS 9.4・ネット経由・認証不要・ルータ完全掌握のリスク”

01 · Overview

ニュースの概要

日本電気株式会社（NEC）が提供するルータ「UNIVERGE IX-R/IX-Vシリーズ」に、重要な機能に対する認証の欠如（CWE-306）の脆弱性（CVE-2026-16876）が確認された。CVSSスコアは9.4（Critical）と極めて高く、リモートの攻撃者がWebGUI宛てに細工したHTTPメッセージを送信するだけで、認証なしに任意のコマンドを実行できる。国内の中小企業・多店舗チェーンで広く使われる機器であり、ただちにアップデートを適用するか、WebGUIを無効にするワークアラウンドを実施する必要がある。

UNIVERGE IX-Rシリーズは中小企業や店舗ネットワーク向けのNEC製WANルータで、IX-Vシリーズは仮想環境向けの製品ラインである。影響を受けるバージョンはVer1.1からVer1.3まで、Ver1.4.21からVer1.4.28まで、およびVer1.5.23であり、多くの導入バージョンが対象となる。

脆弱性はJVN#81414813およびJVNDB-2026-000119として2026年8月21日に公開された。報告者はSophos（ソフォス株式会社）の榎田小次郎氏で、IPAへの届出を経てJPCERT/CCが開発者との調整を行った。NECは修正済みバージョンへのアップデートを提供しており、即時適用が困難な場合はWebGUIを無効化することが推奨されている。

ネットワーク境界を担うルータが完全に掌握された場合、組織内トラフィックの盗聴・改ざん、内部ネットワークへのピボット攻撃、設定変更によるサービス妨害など、組織全体に対する深刻な影響が生じうる。多拠点展開しているチェーン店舗では1拠点の侵害が本社への踏み台となり連鎖的被害が拡大するリスクがある。

CVE番号
CVE-2026-16876
JVN番号
JVN#81414813
CVSSスコア
9.4（Critical）
影響製品
UNIVERGE IX-R/IX-V Ver1.1〜1.5系
攻撃前提条件
ネットワーク到達性のみ（認証不要）
修正状況
修正版あり・WebGUI無効化で回避可

JVN#81414813（2026-08-21公開）およびNECセキュリティ情報nv26-005に基づく。現時点で悪用の公式報告は未確認。

02 · Analysis

詳細な原因解説

本脆弱性の根本原因は「重要な機能に対する認証の欠如（CWE-306）」である。UNIVERGE IX-R/IX-VシリーズのWebGUI（Web管理インタフェース）は、特定のAPIエンドポイントに対するリクエストを処理する際、要求元ユーザーの認証状態を検証する実装が欠落していた。そのため、ログイン済みセッションを持たないリモートの攻撃者でも、当該エンドポイントへ細工したHTTPリクエストを送信するだけでコマンド実行機能にアクセスできてしまう。

NECのUNIVERGE IX-Rシリーズは国内の中小企業・店舗のWANルータとして広く採用されており、インターネット側からWebGUIポートが到達可能な状態で運用されているケースでは、認証なしで直接攻撃が成立する。また、インターネット非公開の環境でも、フィッシング経由でマルウェアに感染した内部端末から攻撃者が操作した場合に同様のリスクがある。

WebGUI経由で実行されるコマンドはルータOSレベルで処理されるため、攻撃者はルーティング設定の変更、バックドアユーザーの追加、トラフィックの盗聴・リダイレクト、さらにはファームウェアの書き換えまで実行できる。ルータは組織の全通信を処理する基盤機器であるため、侵害された場合の被害範囲はエンドポイント1台の侵害とは比較にならない広さになる。

03 · Action

今からできる主な対策

明日からすぐ

1週間以内

05 · Forecast

今後起こりうる展開と対策

認証欠如が可能にする初期侵入の構造

Q. 攻撃者はWebGUIの認証欠如をどのように悪用してキルチェーンを展開するか？

偵察フェーズでShodanやCensys等のスキャンサービスを用いてインターネット公開中のWebGUI（典型的にはポート443/80/8080）を発見した攻撃者は、単一の細工済みHTTPリクエストを送信するだけで初期アクセスを確立できる。その後、ルータOS上でのコマンド実行権限を用いてバックドアユーザーの追加や永続性を確保し、組織内部トラフィックの盗聴や侵入拡大（ラテラルムーブメント）へと進む。認証フェーズをスキップできる本脆弱性は侵害コストを大幅に低下させるため、自動化スキャンツールによる大規模探索の標的になりやすい。

ルータ侵害が組織全体に波及するメカニズム

Q. ルータが1台侵害された場合、組織のセキュリティ体制はどのように崩壊するか？

UNIVERGE IX-Rは店舗・拠点のエッジルータとして機能するため、侵害された機器はその拠点の全トラフィックを処理する。攻撃者がルーティングテーブルを改ざんすれば内部通信を傍受できるほか、DNSの改ざんでフィッシングサイトへ誘導することも可能だ。多拠点展開しているチェーン店舗や中小企業グループの場合、1拠点のルータ侵害が本社への踏み台となり、被害が連鎖的に拡大するリスクが高い。VPNや認証サーバーもこのルータを経由している場合、認証基盤自体が危険にさらされる構造的弱点が顕在化する。

即時対応と中長期対策の優先順位

最優先すべきはWebGUIのインターネット公開状態の確認と即時遮断である。パッチ適用に数日かかる場合でも、ACLでWebGUIアクセスを管理端末のIPのみに制限するだけでインターネットからの攻撃リスクは大幅に低下する。この応急措置はアップデートの有無にかかわらず実施すべきものだ。

中期的には、すべての管理インタフェース（WebGUI・SSH・SNMP等）へのアクセスをVPN経由に限定し、インターネットから直接到達できない設計にすることが根本的な対策となる。NECのセキュリティアドバイザリを継続的にモニタリングし、後継ファームウェアのリリースに遅れなく対応する体制の整備も重要な防御の柱となる。

06 · AI Prompt

AI対策プロンプト

あなたは[組織名]（業種：[業種]）のネットワーク管理者である。組織のWANルータとしてNEC UNIVERGE IX-Rシリーズを[台数]台運用している。今回CVE-2026-16876（CVSS 9.4）という重大な認証欠如の脆弱性が公開された。以下を検討せよ：①現在のファームウェアバージョン確認と影響評価の手順、②管理者権限が不要なWebGUIアクセスが発生していないかのログ調査方法、③アップデート計画と業務影響を最小化する適用スケジュールの立案。

プロンプトのカスタマイズ

以下を入力すると、上のプロンプトに反映されます。

自組織の正式名称

自組織の業種・業態

組織で運用するIX-R/IX-V機器の総台数

キーワード

  • UNIVERGE IX-R
  • CVE-2026-16876
  • 認証欠如
  • NEC
  • ルータ脆弱性

SOURCES · 参考情報源