Zyxel Networksは2026年10月20日、一部の通信機器にある認可不備の脆弱性「CVE-2026-12489」を初公開しました。認証済みの攻撃者が権限を昇格できる恐れがあり、同社は修正版ファームウェアの適用を強く推奨しています。情シスは機種と版に加え、機器の入手経路を確認し、修正版を受け取る窓口を切り分ける必要があります。
認証済みの攻撃者が権限を昇格する恐れ
問題があるのは、一部ファームウェアのデータアクセス層(DAL)です。認可は、利用者にどの操作を許可するかを判断する仕組みです。Zyxelによると、認証済みの攻撃者が機器の「login_privilege」データを改変することで、権限を昇格できる恐れがあります。
対象の製品区分は、一部の5G NR CPE、DSL/Ethernet CPE、Fiber ONTs、無線中継器です。Zyxel製品全体が対象という発表ではありません。製品名だけでなく、搭載しているファームウェアの版まで照合することが重要です。
日本での提供は発表には書かれていません。日本国内で使う機器についても、対象機種・版と修正版の入手可否を、入手経路に応じた窓口に確認してください。
3機種の対象版と修正版、入手先を確認
資料で確認できる3機種の対象版と修正版は、次のとおりです。
- Nebula FWA505v2：1.70(ACRH.0)C0以前が対象。修正版は1.70(ACRH.0)V0です。
- Nebula FWA515：1.70(ACPZ.1)C0以前が対象。修正版は1.70(ACPZ.0)V0です。
- Nebula FWA70：1.70(ACRF.0)C0以前が対象。修正版は1.70(ACRF.0)V0です。
修正ファイルの入手先は、Zyxelの営業担当またはサポート窓口です。ただし、利用者が連絡する先は機器の入手経路で異なります。
インターネット接続事業者(ISP)から機器を入手した利用者には、ISPのサポートへの相談を推奨しています。自己購入した利用者には、地域のZyxelサポートから修正版を入手するよう案内しています。ISP自身には、Zyxelの営業・サービス担当への詳細確認を案内しています。
影響する会社・しない会社
- 影響する: 上記3機種の対象版を使っている会社は、修正版の入手と適用を進める必要があります。
- 影響しない: Zyxelによると、現在販売中で、対象一覧にない製品は影響を受けません。ただし、ISP向けカスタムモデルは一覧の対象外である点を分けて確認してください。
- 要確認: ISP向けに個別設計されたカスタムモデルを使う会社は、影響の有無をISPに確認してください。これらのモデルは対象一覧に含まれず、今回の資料では影響の有無を判断できません。
対象一覧に掲載されているのは、脆弱性サポート期間内の影響製品です。「一覧にない製品はすべて安全」と範囲を広げて解釈しないことが、確認漏れを防ぐポイントです。
