セキュリティアドバイザリ：Deco M9 PlusにおけるOSコマンドインジェクションの脆弱性（CVE-2026-17176）

脆弱性および影響の説明：

CVE-2026-17176

Deco BE11000およびDeco M9 PlusのTDDPモジュールにOSコマンドインジェクションの脆弱性が存在します。この脆弱性により、隣接ネットワーク上の攻撃者が細工されたUDPパケットを送信することで、root権限で任意のコマンドを実行できる可能性があります。

この脆弱性が悪用された場合、不正なコマンドの実行、デバイス設定の変更、機密性・完全性・可用性の喪失など、デバイスが完全に侵害される可能性があります。

CVSS v4.0 スコア：7.7 / 高

CVSS:4.0/AV:A/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:L/SI:L/SA:L

影響を受ける製品・バージョンおよび修正情報：

推奨される対策：

影響を受けるデバイスをご利用のお客様には、以下の対策を強く推奨します。

1. 影響を受けるデバイスを、脆弱性が修正された最新のファームウェアにアップデートしてください。

JP: Deco M9 Plusのダウンロード | TP-Link

免責事項：

本セキュリティアドバイザリは情報提供のみを目的としており、予告なく変更される場合があります。本情報は「現状のまま」提供されるものであり、いかなる保証も行いません。TP-Linkは、お客様に対し、提供されているファームウェアのアップデートを速やかに適用するか、本アドバイザリに記載された回避策を実施することを推奨します。記載されたアップデートや対策が適用されていないデバイスやシステムには、引き続き脆弱性が存在する可能性があります。TP-Linkは、これらのアップデートを適用しなかったことに起因する損害や損失について、一切の責任を負いません。