セキュリティアドバイザリ：Deco XE75におけるハードコードされたメッシュグループ秘密鍵（CVE-2026-15469）

脆弱性および影響の説明：

CVE-2026-15469：Deco XE75、XE5300、およびWE10800におけるハードコードされたメッシュグループ秘密鍵

一部のDeco製品のメッシュ機能において、ハードコードされた暗号鍵が使用されている脆弱性が確認されました。影響を受けるファームウェアには、メッシュプロトコルによるノード認証に使用される共通のRSA-512メッシュグループ秘密鍵が含まれています。攻撃者がファームウェアイメージを入手し、かつローカルネットワークにアクセスできる場合、デバイス固有の認証情報を保有していなくてもメッシュノードとして認証できる可能性があります。

この脆弱性の悪用に成功した場合、認証されていない隣接ネットワーク上の攻撃者が信頼されたメッシュノードになりすまし、メッシュノード認証を回避できる可能性があります。これにより、デバイスまたはメッシュの設定が不正に変更され、機密性、完全性、および可用性に影響を及ぼす可能性があります。

CVSS v4.0 スコア：7.7 / High（高）

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

影響を受ける製品/バージョンおよび修正：

推奨事項：

影響を受けるデバイスをご利用のお客様には、以下の対応を強く推奨します。

1. 影響を受けるデバイスを、本脆弱性が修正された最新のファームウェアバージョンにアップデートしてください。

JP: Deco XE75 | TP-Link ダウンロード

免責事項：

本アドバイザリは情報提供のみを目的としており、予告なく変更される場合があります。本情報は、明示または黙示を問わず、いかなる保証も伴わない「現状有姿」で提供されます。TP-Linkは、お客様に対し、利用可能なファームウェアアップデートを速やかに適用するか、本アドバイザリに記載されている回避策を実施することを推奨します。記載された方法でアップデートまたは対策が実施されていないデバイス/システムは、引き続き脆弱性の影響を受ける可能性があります。TP-Linkは、これらのアップデートを実施しなかったことに起因するいかなる損害または損失についても、一切の責任を負いません。