Zyxel CVE-2026-107441・76955はHigh―LAN経由の攻撃に備えスイッチ・APを更新
GS1900のOSコマンド実行と、APなどの権限昇格を修正。機種ごとに更新番号が異なり、一部はサポートへの修正ファイル請求が必要です。
Zyxel公表日：2026-11-03 / 公開： / 更新： / 最終確認：
Codingholic 編集部 · 約2分
Zyxelは2026年11月3日、スイッチや無線APなどの2件の脆弱性を公表しました。CVE-2026-107441とCVE-2026-76955は、ともに同社のCVSS v3.1評価で8.8、High。いずれも隣接ネットワークからの攻撃で、認証と利用者操作を必要としない評価です。
CVE-2026-107441はGS1900シリーズのCGIプログラムにある領域外書き込みです。LAN上の攻撃者が細工したHTTP要求を送ると、OSコマンドを実行できるおそれがあります。例えばGS1900-24Eは2.90(AAHK.2)C0以前が対象で、修正版は2.90(AAHK.3)C0。ほかの対象機種も括弧内の機種コードを含めて確認が必要です。
CVE-2026-76955は一部AP、FWA7、Security Routerのzdp_wtpバイナリにあるバッファオーバーフローで、LAN経由の権限昇格につながります。NWA110AXは7.12(ABTG.1)C0、USG LITE 60AXはV2.40(ACIP.0)C0が修正版です。後者はクラウド経由で更新され、WAC500Hはサポートへホットフィックスを請求する方式です。
同じメーカーでも対象機種と修正の配布方法が異なります。当社では、管理台帳の型番・稼働ファームウェアを公式表と照合し、更新後の実際の版まで記録することを提案します。両告知に実際の攻撃被害の記載はありません。
出典と編集について
Zyxel：GS1900シリーズの領域外書き込みに関するセキュリティ告知 ↗Zyxel：AP・FWA7・Security Routerの対象機種と修正版 ↗
Zyxel：CVE-2026-107441のCVSS評価 ↗
本記事は公表資料に基づく速報です。判明した範囲を記載しており、続報で内容が変わる場合があります。