D-Link DIR-505 CVE-2026-120189はCritical―TFTP処理にバッファオーバーフロー

2026年11月1日9時00分、日本時間でD-Link DIR-505のCVE-2026-120189がCVEレコードに登録されました。VulDBによる評価はCritical（緊急）、CVSS v4.0は10.0です。レコード内の開示記録は10月31日9時であり、11月1日に初めて発見・公開された問題という意味ではありません。

影響版として記載されているのは1.10B02です。TFTPアップロードのファイル名を扱う/usr/bin/tftpdのsave_upload_fileおよびmp_upload_fileに、スタックベースのバッファオーバーフローがあると報告されています。ネットワーク経由で攻撃可能という評価ですが、実際の到達範囲は機器の設定と接続構成で変わります。

CNA情報には攻撃実証コードが公開されていると記載されています。一方、実環境で悪用されたとの確認はなく、PoC公開と被害発生を同一視することはできません。対象として記載されていない他のD-Link製品や全ファームウェアへ、影響を広げて判断する根拠もありません。

確認したレコードに修正版は示されていません。利用者は機種・ファームウェアとTFTPへの接続経路を確認し、不要な接続を遮断するなどの暫定措置を検討してください。更新の提供状況をメーカーに確認できない場合は、機器の交換も含めて運用を見直す必要があります。