セキュリティアドバイザリ：複数のTP-Link Wi-Fi中継器における不適切な認証処理の脆弱性（CVE-2026-109506）

脆弱性および影響の説明：

CVE-2026-109506： 複数のTP-Link Wi-Fi中継器における不適切な認証処理の脆弱性

複数のTP-Link Wi-Fi中継器では、HTTPを使用したWeb管理画面へのログイン処理において、XOR演算と辞書を組み合わせた独自の可逆的な変換方式が使用されています。同一ローカルネットワーク内にいる未認証の攻撃者が、正規の管理者によるログイン時のネットワーク通信を取得できる場合、正規の認証情報と同じ認証結果が得られる別の認証情報を導き出し、それを利用して機器のWeb管理画面に管理者権限でログインできる可能性があります。この脆弱性を悪用するには、管理画面へのログインにHTTPが使用されていることに加え、攻撃者が正規の管理者のログインに関連するセッションキー、辞書、およびログイン値を取得する必要があります。

この脆弱性が悪用された場合、同一ローカルネットワーク内にいる未認証の攻撃者が、影響を受ける機器の管理者権限を取得し、管理画面から変更可能な設定を不正に変更できるおそれがあります。

CVSS v4.0 スコア：5.9 / 中

CVSS:4.0/AV:A/AC:H/AT:N/PR:N/UI:P/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

影響を受ける製品・バージョンと修正情報：

推奨される対策：

影響を受ける製品をご利用のお客様には、以下の対策を実施することを強く推奨します。

1. 影響を受ける製品を、本脆弱性が修正された最新のファームウェアバージョンにアップデートしてください。

JP： ダウンロードセンター | TP-Link

免責事項：

本セキュリティアドバイザリは情報提供のみを目的としており、予告なく内容が変更される場合があります。本情報は現状有姿で提供され、明示または黙示を問わず、いかなる保証も行いません。TP-Linkは、お客様に対し、提供されているファームウェアのアップデートを速やかに適用するか、本アドバイザリに記載された回避策を実施することを推奨します。記載されたアップデートや対策が実施されていない機器・システムは、引き続き脆弱性の影響を受ける可能性があります。TP-Linkは、これらのアップデートや対策を実施しなかったことに起因する損害や損失について、一切の責任を負いません。