サポート終了のDrayTek Vigor2960に脆弱性9件 悪用手順も公開、置き換えを

台湾のDrayTekが作る拠点向けのVPNルーター「Vigor2960」に、管理画面の脆弱性が9件見つかりました。ログインした攻撃者が、機器の上でコマンドを動かせるものを含みます。悪用の手順も公開されています。Vigor2960は2021年に販売が終わり、ファームウェアの保守も2026年12月で終わる機器です。まだ使っている会社は、今の版を確かめ、管理画面の守りを固め、置き換えを急いでください。

何が見つかったか

2026年10月20日、GitHubの勧告のデータベースに、Vigor2960の1.5.1.6(Revision 8218)の脆弱性9件(CVE-2026-113389〜113397)が載りました。ドイツのCERT-Bundも同じ日に、深刻度を最も高い「kritisch(重大)」として勧告(WID-SEC-2026-4069)を出しています。9件はどれも、管理画面の処理(/cgi-bin/mainfunction.cgi)の中にあります。

勧告はどれも、攻撃はネットワーク越しにでき、悪用の手順が公開済みだとしています。必要な権限は「低い」とされ、管理画面に入れるアカウントが1つあれば悪用されうる、という評価です。

DrayTekの答え:「サポート終了で、限られた支援だけ」

勧告には、DrayTekの答えとして「2960の1.5.1.7で多くのセキュリティの問題を直した。2960はサポートが終わっていて支援は限られ、重大な問題(認証なしの脆弱性など)だけを見直す」と書かれています。また、9件とも「すでに作り手のサポートが終わった製品だけに当たる」と記されています。

1.5.1.7は2026年9月に公開されたファームウェアで、リリースノートには「WebのCGIの守りを強めた」とあります。9件のうち6件は、勧告に「1.5.1.7に上げれば直る」と書かれていますが、CVE-2026-113389、CVE-2026-113390、CVE-2026-113394の3件には、その記載がありません。認証が要る脆弱性は見直しの対象外ともとれる答えのため、1.5.1.7に上げても残るものがある前提で守ります(当社の見立て)。

サポートが終わった機器を使い続けるということ

DrayTekは2021年12月の告知で、Vigor2960の製造をやめ、その後は機能の改善をしないとし、後継にVigor2962を勧めました。英国の販売会社DrayTek UKの製品の一覧では、Vigor2960は2012年8月の発売で、販売の終了は2021年12月9日、ファームウェアの保守は販売の終了から5年で、2026年12月9日に終わります。

Vigor2960は、狙われてきた機器でもあります。米CISAの悪用が確認された脆弱性の一覧(KEV)には、同じ管理画面の処理の脆弱性が、2021年(CVE-2020-8515)、2024年(CVE-2020-15415)、2025年(CVE-2024-12987)に載っています。今回の9件も手順が公開されたため、同じように狙われる前提で考えます(当社の見立て)。

VPNの機器が狙われ続ける理由と守り方は、NetScalerはなぜ狙われ続けるのか 1年余りで悪用8件、VPN機器の守り方でも取り上げています。

影響する会社・しない会社

• 影響する: 本社や拠点のVPNやネットの出口に、Vigor2960を使っている会社です。1.5.1.6以前なら9件すべてが当たります。
• 影響する: Vigor2960の管理画面に、インターネットや広い社内のネットワークから入れる会社と、管理者のアカウントを複数の人や外部の業者で共有している会社です。
• 影響しない: Vigor2960を使っていない会社です。今回の9件は、Vigor2960の1.5.1.6で見つかったものとして公表されています。同じ処理を持つほかのVigorの機種への影響は、勧告に書かれていません。

情シスが今日やること

1. 機器を探す。 本社・拠点・倉庫・店舗のネットワークの機器の一覧で、DrayTek Vigor2960があるかを確かめます。保守の会社に任せている拠点は、保守の会社に機種と版を聞きます。
2. 1.5.1.7に上げる。 見つかったら、ファームウェアを1.5.1.7に上げます。上げる前に、設定の控えを取ります。管理者のパスワードに「%」を使っている場合は、リリースノートの注意どおり、先にパスワードを変えます。
3. 管理画面を外に出さない。 インターネットから管理画面(WebやSSH、Telnet)に入れないようにし、社内からも管理用の端末だけに絞ります。
4. 管理者のアカウントを見直す。 使っていないアカウントを消し、残るアカウントのパスワードを、ほかと使い回していない長いものに替えます。業者と共有しているアカウントは、人ごとに分けます。
5. 置き換えの計画を立てる。 ファームウェアの保守は2026年12月9日に終わります。後継の機種や別の製品への置き換えの予算と日程を、今月中に決めます。置き換えまでの間は、機器の記録(ログ)で、覚えのないログインや設定の変更がないかを定期的に見ます。