TP-Link Omada ゲートウェイの OpenVPN サーバに認証前 OS コマンドインジェクション（CVSS 9.8）

Critical（CVSS 9.8）に分類されるTP-Link（Omada Networks） TP-Link Omada シリーズのゲートウェイ機器。ER605 / ER605W / ER7206 / ER7212PC / ER7406 / ER707-M2 / ER7412-M2 / ER8411 / ER706W 系 / ER703WP-4G-Outdoor / ER603WP-4G-Outdoor / ER701-5G-Outdoor / DR3220V-4G / DR3650V / DR3650V-4G / DR3150。の脆弱性です。**条件がそろっていれば、認証の前に任意コマンドが通る。**NVD の記述はこうである。「OpenVPN サーバとして動作するよう設定された Omada ゲートウェイにおいて、**OpenVPN 接続の確立中にクライアントから供給されたデータの検証が不十分**であることに起因する、**認証前の OS コマンドインジェクション**の脆弱性が確認された。認証されていない遠隔の攻撃者は、**認証が完了する前に**バックエンドのコマンド実行ロジックに影響する細工した入力を与えることができる」。 **成立条件は3つで、NVD が明示している。** 1. **OpenVPN サーバ機能が有効になっている**こと 2. **VPN サービスに攻撃者が到達できる**こと 3. **攻撃者が OpenVPN の接続試行を開始できる**こと 逆に言えば、**OpenVPN サーバ機能を使っていない機体はこの経路では狙われない**。まずそこを確かめるのが早い。 **評価は2つに割れているが、結論は変わらない。** | 評価元 | CVSS | 判定 | 備考 | |---|---|---|---| | **NVD (nvd@nist.gov・Primary)** | **9.8** | Critical | CVSS 3.1 / AV:N / AC:L / PR:N / UI:N / S:U / C:H / I:H / A:H | | CNA (Secondary) | 9.3 | Critical | CVSS 4.0 / AV:N / AC:L / AT:N / PR:N / UI:N / VC:H / VI:H / VA:H | バージョンの違い（3.1 と 4.0）による差であって、**どちらも Critical で、どちらも認証不要（PR:N）・利用者操作不要（UI:N）・ネットワーク経由（AV:N）である。**本サイトは Primary の 9.8 を採る。 **影響は機器の完全な掌握まで届きうる。**NVD は「悪用に成功すると任意のコマンド実行が可能となり、**当該機器の完全な侵害につながる可能性がある**」と書いている。VPN の出入口を握られるということは、その先の内部ネットワークへの足がかりを渡すことでもある。 **対象機種が19系統と広い。**ER605 のような小規模拠点向けの有線ゲートウェイから、ER8411 のような上位機、DR シリーズの 4G/5G 屋外機まで並んでいる。**Omada の名前で1台でも入れているなら、型番を照合する価値がある。** **公開は 2026-08-20、NVD の最終更新は 2026-09-03 で、状態は Analyzed である。CISA KEV には 2026-09-11 時点で収載されていない。**ただし NVD の参照には第三者による解説記事が Exploit タグ付きで並んでおり、**攻撃手法は公開されている**。

**まず「OpenVPN サーバ機能を使っているか」を確認する。**使っていないなら、この CVE の経路は成立しない。ただし将来有効化する可能性があるなら、結局は更新が必要になる。 **使っているなら、修正版ファームウェアへ更新する。**NVD が示す修正版の下限は機種ごとに異なる。以下は NVD の CPE 情報にもとづく「この版より前が対象」の一覧である。 | 機種 | 対象となるファームウェア | |---|---| | ER605 | 2.4.4 未満 | | ER605W | 2.0.4 未満 | | ER7206 | 2.3.5 未満 | | ER7212PC | 2.4.3 未満 | | ER7406 | 1.3.4 未満 | | ER707-M2 | 1.4.4 未満 | | ER7412-M2 | 1.2.0 未満 | | ER8411 | 1.4.1 未満 | | ER706W | 1.2.11 未満 | | ER706W-4G | 1.2.6 未満 / 2.1.11 未満（ハードウェア版による） | | ER706WP-4G | 1.1.11 未満 | | ER703WP-4G-Outdoor | 1.1.7 未満 | | ER603WP-4G-Outdoor | 1.0.2 未満 | | ER701-5G-Outdoor | 1.0.3 未満 | | DR3220V-4G | 1.2.0 未満 | | DR3650V / DR3650V-4G | 1.2.0 未満 | | DR3150 | 1.0.1 未満 | **同じハードウェア名でもハードウェアバージョンで分かれる機種がある**（ER706W-4G が 1.2.6 と 2.1.11 の2系統を持つ）。管理画面で機種名だけでなく**ハードウェアバージョンも確認**してから、対応するファームウェアを選ぶこと。 **すぐに更新できないときの緩和は、上の3条件のどれかを外すことである。** - **OpenVPN サーバ機能を止める**（別の VPN 方式へ切り替えるか、更新まで VPN を停止する）。これが最も確実である - **VPN ポートへの到達範囲を絞る**。固定 IP からの接続しか受けないなら、上位のファイアウォールや ISP 側で送信元を制限する。ただし **Omada ゲートウェイ自身が境界である構成では、自分より外側に絞る場所が無い**点に注意する **更新後は侵害の痕跡を見る。**認証前に任意コマンドが通る種類の穴なので、パッチ適用だけで終わりにはできない。 - 管理者アカウントの**予期しない追加・パスワード変更** - **VPN の設定・ルーティング・ポート転送**に覚えのない項目が無いか - ゲートウェイ自身を発信元とする**外向きの常時接続** - 設定のバックアップを取り、更新前後で差分を取る **ベンダのアドバイザリは TP-Link の FAQ 5256 にある**（CVE-2026-9033・CVE-2026-19683 と併せた告知）。ファームウェアの配布は Omada Networks のダウンロードページである。

TP-Link（Omada Networks） TP-Link Omada シリーズのゲートウェイ機器。ER605 / ER605W / ER7206 / ER7212PC / ER7406 / ER707-M2 / ER7412-M2 / ER8411 / ER706W 系 / ER703WP-4G-Outdoor / ER603WP-4G-Outdoor / ER701-5G-Outdoor / DR3220V-4G / DR3650V / DR3650V-4G / DR3150。 を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-19586）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。