NEC Aterm脆弱性2026｜対象機種一覧・5件のCVEと企業の対処チェックリスト

結論から。 NECは2026年3月26日、家庭用・SOHO向けWi-Fiルーター「Aterm」シリーズに影響する複数の脆弱性についてセキュリティ情報「NV26-001」を公開しました（JVN#89339669）。脆弱性は全5件で、最も深刻な2件はOSコマンドインジェクション（CVSS v4.0 基本値7.1／重要度「高」）。ファームウェア更新で対策できる機種と、すでに生産終了（EOL）で買い替えしか手段がない機種に分かれます。 いずれもLAN側からのアクセスが前提で、インターネット（WAN側）からの直接悪用はできませんが、それは「対応しなくてよい」を意味しません。

やるべきことは3つです。(1) 自社の全拠点・テレワーク環境で使っているルーターの機種名を棚卸しする。(2) 対象機種なら、ファーム更新（対象機種）か買い替え（EOL機種）を実施する。(3) 今回を機に、ネットワーク機器のEOL（サポート終了）を継続管理する仕組みを持つ。 本記事は、この3つを中小企業が最短でやり切るための一次情報と判断フレーム、チェックリストをまとめたものです。

---

30秒サマリー

---

この記事を読むべき人

• 本社・支社・営業所・倉庫などで家庭用ルーター（Aterm含む）を業務利用している中小企業の経営者・事業責任者
• 情シス担当が兼任または不在で、「うちが対象機種か」を誰も把握していない会社
• テレワーク・在宅勤務者が自宅のルーター経由でVPN接続している会社
• 取引先や親会社からセキュリティ基準の遵守を求められており、監査でネットワーク機器の状態を説明する必要がある会社
• 「ニュースは見たが、結局うちは何をどの順でやればいいのか」を知りたい実務決裁者

技術者向けのCVE解説記事は多くありますが、本記事は「経営として何を判断し、誰に何をやらせるか」に踏み込みます。

---

何が公開されたのか——NV26-001の全体像

NECの公式セキュリティ情報「NV26-001」は、Atermシリーズの複数製品に5件の脆弱性が存在することを告知したものです。脆弱性の種類（CWE）と内容は、JVN#89339669および複数の報道で次のように整理されています。重要なのは、5件のうち深刻度が突出しているのはOSコマンドインジェクションの2件であり、残り3件は組み合わせで悪用の足がかりになるという構造です。

5件のCVE——何がどう危険か（一次情報ベース）

※CVSSスコアはNEC公式アドバイザリおよびSecurity NEXT等の報道に基づく。OSコマンドインジェクション2件のv4.0基本値7.1は各社一致。残り3件の「基本値6点前後・重要度中」は二次報道（基本値が6.3から6.0に修正された旨の記載）に依拠しており、最終値はNEC公式NV26-001での確認を推奨します。

ここで押さえるべきは3点です。第一に、深刻な2件（OSコマンドインジェクション）は「管理者としてWebコンソールにログインできること」が悪用の前提である点。つまり管理画面のパスワードが初期値・弱い・漏えい済みだと、一気に危険度が上がります。第二に、CVE-2026-4619は「読み取り」ではなく任意ファイルの上書きが問題で、設定改ざんの入口になり得ること。第三に、CVE-2026-4621は「隠しtelnetの有効化」というバックドア的な挙動で、正規の管理画面からは見えないため、利用者が気づけないことです。この3件が単独では中程度でも、認可回避（4309）→隠し機能有効化（4621）→OSコマンド実行（4620/4622）と連鎖すると、ルーターの完全な乗っ取りにつながります。

乗っ取られた場合の最悪シナリオは、DNS設定を改ざんされ、社内の全端末の通信が攻撃者のフィッシングサイトへ誘導されること。通信の傍受や、恒久的なバックドア設置も理論上は可能です。ルーターは「壊れなければ何でもいい」機器ではなく、社内ネットワークの入口を握る特権デバイスだと捉え直す必要があります。

---

対象機種一覧——「うちのルーター、該当する？」を最短で判定する

報道では家庭用Atermの21機種が影響対象として広く伝えられました。一方、NECの公式対策一覧は「ファームウェア更新で対策できる機種」と「生産終了で買い替えが必要な機種」に分かれ、プロバイダ（ISP）が貸与するGXシリーズ等の一部モデルも含まれます。まずは自社の機種名をラベルで確認し、下表と突き合わせてください。

対策できる機種（ファームウェア更新）— 更新後の最新バージョン

以下は最新ファームへ更新すれば脆弱性を解消できる機種です（バージョンは「以上」を示す。NEC公式・複数報道で一致）。

※GX621A1・GB1200PEはプロバイダ提供（ISP貸与）系のモデルです。自社契約のルーターがプロバイダ貸与品の場合、更新方法や交換可否は契約プロバイダにも確認してください。

対策できない機種（生産終了・EOL）— 買い替えが唯一の対策

以下はファームウェアの提供が終了しており、脆弱性を修正する手段がありません。速やかな買い替えが必要です。

※このほか、プロバイダ系のGX1200シリーズ等も生産終了対象として公表されています。対象機種と最新バージョンは随時更新されるため、最終判断は必ずNEC公式のセキュリティ情報「NV26-001」とAtermサポート（サポート終了品）で確認してください。 本記事の一覧は執筆時点の公表内容に基づく整理です。

自社が該当機種か確認する手順（所要5分）

1. 本体ラベルを見る：ルーター本体の底面・側面に「Aterm WX3600HP」などの機種名（型番）が印字されています。まずここを確認。
2. 管理画面で確認：ブラウザで管理画面（多くは http://192.168.10.1 または http://aterm.me/）にログインし、「装置情報」等のページで機種名と現在のファームウェアバージョンを記録します。
3. 上表と突合：機種名が「更新で対策」表にあれば最新バージョンと比較、「生産終了」表にあれば買い替え計画へ。どちらにもなければ、念のためNEC公式の最新一覧で再確認。

この確認は1台なら5分ですが、拠点が複数ある会社ほど「誰が・いつ・どこの機器を確認したか」の記録が抜けます。棚卸しは「やった／やっていない」を機器台帳で残すところまでをワンセットにしてください。

---

「LAN側からのみ」を過信してはいけない3つの理由

今回の脆弱性は「LAN側からのアクセスが前提」で、インターネットから直接叩かれるものではありません。ここで「じゃあ社内は安全だから急がなくていい」と判断するのが、最もよくある経営の落とし穴です。攻撃者はすでに「LANの中に入る手段」を複数持っています。

シナリオ1：マルウェア感染端末からの横展開。 社内PCが1台でも不正メールや不正サイトでマルウェアに感染すれば、その端末はLAN内のルーターを内側から攻撃できます。管理者パスワードが弱ければ、OSコマンドインジェクションの前提（管理者ログイン）は容易に満たされます。ルーターが乗っ取られれば、DNS改ざんで全端末がフィッシングサイトへ誘導されます。

シナリオ2：来客用・共有Wi-Fi経由。 SOHOや小規模拠点で来客・パートナーにWi-Fiを開放している場合、ネットワークに接続した第三者がルーターの脆弱性に手を伸ばせます。ゲストネットワークと業務ネットワークが分離されていない環境は特に危険です。

シナリオ3：脆弱なIoT機器の踏み台化。 ネットワークカメラ、複合機、スマート家電など、更新されないIoT機器が侵入口になり、そこからLAN内のルーターへ攻撃が到達するケースがあります。ルーター単体だけを見ても、リスクの全体像は掴めません。

つまり「WANから叩けない＝緊急度ゼロ」ではなく、**「LAN内に足がかりを作られた瞬間に一気に致命傷になる」**というのが正しい脅威モデルです。緊急度は最高ではないが、放置してよい理由にもならない——この温度感で計画を立ててください。

---

中小企業の対処チェックリスト

ステップ1：棚卸し（まずここで9割が決まる）

• 本社・事務所のルーター機種名とファームバージョンを記録した
• 支社・営業所・倉庫・店舗など全拠点のルーターを棚卸しした
• テレワーク用に貸与しているルーターを確認した
• 在宅勤務者が自宅のルーター経由でVPN接続していないか把握した（BYOD環境）
• プロバイダ貸与モデルの有無と、その保守責任の所在（自社かISPか）を確認した
• 部署が独自購入した機器（シャドーIT）がないか確認した
• 上記を**機器台帳（機種／設置場所／購入日／サポート期限／担当者）**として1枚に記録した

ステップ2：更新または交換

対象機種（ファーム更新）の場合

1. NEC製品サポートページから機種の最新ファームを確認（オンラインバージョンアップ対応機種は管理画面から適用可）
2. 適用→再起動→バージョンが更新されたことを確認
3. ついでに管理画面パスワードを強固なものへ変更（漏えい前提でリセット）

生産終了（EOL）機種の場合

1. 代替機を調達（業務利用なら、VLAN・詳細ログ・VPNに対応するビジネスルーターも検討）
2. 現行設定をバックアップ→新機へ移行→旧機をネットワークから切り離す
3. 旧機は工場出荷状態にリセットしてから廃棄（設定・認証情報の残存を防ぐ）

ステップ3：設定の見直し（機器を替えるだけでは不十分）

• 管理画面が初期パスワードのままになっていないか
• 管理画面へのアクセスを特定端末に制限しているか
• UPnPを無効化しているか（不要なポート開放を防ぐ）
• WAN側からのリモート管理を無効化しているか
• ゲストネットワークと業務ネットワークを分離しているか
• telnet等の不要サービスが有効化されていないか（今回のCVE-2026-4621の観点）

---

GXOの視点：一過性の対応で終わらせず「EOL管理」を仕組みにする

今回のニュースで慌ててファームを当てても、半年後にまた別の機器がサポート終了を迎えれば、同じ騒ぎが繰り返されます。 ネットワーク機器の脆弱性対応で本当に差がつくのは、事案ごとの後追いではなく「サポート終了を前もって管理する仕組み」を持っているかどうかです。GXOが中小企業のセキュリティ整理で最初に見るのも、この一点です。

判断軸1：機器台帳に「サポート終了日」列があるか。 多くの中小企業の機器管理は「型番」「設置場所」までで止まっています。ここにメーカーのサポート終了予定日を1列足すだけで、EOLは「事故」から「予定されたイベント」に変わります。買い替え予算も先に組めます。

判断軸2：ルーター・スイッチ・複合機・カメラを同じ棚卸しに入れているか。 脆弱性は「PCとサーバー」だけの問題だと思われがちですが、実際に踏み台になるのはネットワーク機器やIoTです。ルーターだけでなく、通信経路上の全機器を1つの台帳に載せるのが正解です。

判断軸3：「更新の実行者」と「確認の記録」が分かれているか。 「更新しておいて」と口頭で頼んで終わり、では監査に耐えません。誰が・いつ・どのバージョンに更新し、誰が確認したかまで残して初めて、取引先や親会社への説明責任を果たせます。

こうした仕組みづくりは、単発のセキュリティ診断より、月次で棚卸し・優先順位付け・更新実行・証跡管理まで回す運用に向いています。社内に判断できる人がいない場合は、脆弱性・EOL対応を含むセキュリティ運用を月額で任せる顧問契約のように、判断と実行を外部に委ねながら情シスの負担を増やさない選択肢があります。まず全体像を整理したい段階なら、外部公開資産とネットワーク機器を含めたセキュリティ体制の再構築から着手するのが現実的です。

---

よくある失敗パターン（発注前に潰す）

• 「本社だけ確認して安心」：拠点・倉庫・店舗の古いルーターが盲点。全拠点を棚卸ししないと意味がない。
• 「更新して終わり」：管理画面パスワードが初期値・弱いままだと、OSコマンドインジェクションの前提を自ら満たしている。更新と設定見直しはセット。
• 「EOL機器を暫定策で延命」：パスワード強化・UPnP無効化などは被害軽減にはなっても、脆弱性そのものは消えない。生産終了機種は買い替えが唯一の解。
• 「テレワークの自宅ルーターは各自任せ」：自宅ルーターの侵害がVPN経由で社内へ波及する。会社としてネットワーク機器のポリシーを持つべき。
• 「安いから」で家庭用を業務常設：VLAN・ログ・アクセス制御が乏しく、監査でも指摘されやすい。拠点の重要度に応じて機器の格を上げる判断を。

---

EOL機器の放置は「経営リスク」——コストの桁が違う

サポート終了機器を使い続けることは、コスト削減ではなくリスクの先送りです。特に次の2点は、経営として無視できません。

安全管理措置の観点。 個人情報を扱う事業者には、個人情報保護法上の安全管理措置が求められます。既知の脆弱性があるEOL機器を放置した状態で漏えいが起きれば、対応の適切性が問われ得ます（具体的な適用可否は自社の状況と最新の法令・ガイドラインに照らし、必要に応じて専門家に確認してください）。

サプライチェーンの観点。 取引先や親会社からセキュリティ基準の遵守を求められている場合、EOL機器の存在が監査で指摘され、取引条件に影響することがあります。「安い家庭用ルーターを何年も使い続けている」状態は、監査では明確な減点材料です。

コスト比較で見ると、判断は明白です。

「ルーター1台の買い替え」と「1件のインシデント対応」を並べれば、投資対効果は語るまでもありません。

---

ベンダー・情シスに何を聞くべきか

外部業者や情シスに対応を依頼するとき、次を確認すると精度が上がります。

• 「今回対応するのは**ルーターだけか、通信経路上の全機器（スイッチ・複合機・カメラ・IoT）**を棚卸しするのか」
• 「更新後のバージョンと確認記録をどう残すか」
• 「生産終了機器の買い替え計画（機種選定・予算・移行手順）まで提案に含まれるか」
• 「テレワーク・自宅ルーターをポリシーの対象に含めるか」
• 「今回限りの対応か、サポート終了を継続監視する運用まで設計するか」

これらに即答できる相手は、単発作業ではなく仕組みで考えています。逆に「対象機種を更新して終わり」で止まる提案は、半年後に同じ問題を再発させます。

---

GXOに相談すべきタイミング

以下に1つでも当てはまるなら、自社だけで抱えず、いったん整理することをおすすめします。

• 拠点ごとにルーターがバラバラで、全体像（機種・台数・サポート期限）が把握できていない
• テレワーク環境のネットワーク機器まで管理が追いついていない
• 取引先・親会社からセキュリティ監査で説明を求められているが、根拠資料がない
• 生産終了機器の買い替え計画を、予算・優先順位込みで立てたい
• 「今回だけ」でなく、EOLを前もって管理する運用に切り替えたい

対応の入口は状況で変わります。まず現状を棚卸しして優先順位を付けたいならネットワーク機器を含むセキュリティ体制の再構築、継続的に判断と実行を任せたいなら脆弱性・EOL対応・棚卸を含むセキュリティ運用の月額顧問、すでに不審な挙動や被害の兆候があるならインシデント対応の相談へ。「うちはどれから？」の切り分けだけでも、GXOへの相談で整理できます。営業電話はしません。相談だけでも構いません。

---

よくある質問（FAQ）

Q. WAN側から攻撃されないなら、対策しなくても大丈夫ですか？ A. いいえ。LAN内にマルウェア感染端末やIoT機器がある場合、それらを踏み台にルーターが攻撃されます。特にOSコマンドインジェクション（CVE-2026-4620/4622）は「管理者としてログインできること」が前提なので、管理画面パスワードが初期値・弱いままだと危険度が跳ね上がります。更新と設定見直しはセットで実施してください。

Q. 自社が該当機種か、確認する一番早い方法は？ A. ルーター本体のラベルで機種名（型番）を確認するのが最速です。あわせて管理画面（多くは http://192.168.10.1 または http://aterm.me/）にログインし、「装置情報」で機種名と現在のファームバージョンを控えてください。

Q. ファームウェアの更新方法がわかりません。 A. NECの製品サポートページに機種ごとの手順があります。オンラインバージョンアップ対応機種なら管理画面から実行できます。不安な場合はIT担当者、または外部の専門業者に依頼してください。プロバイダ貸与モデルは契約プロバイダの指示も確認を。

Q. 生産終了（EOL）機種を当面使い続ける場合の暫定策は？ A. 完全な対策はありません。暫定的に(1)管理画面パスワードを強固に変更、(2)UPnPを無効化、(3)管理画面アクセスを特定端末に制限、(4)不要なリモート管理・telnetを無効化——である程度リスクは下げられますが、脆弱性そのものは消えません。買い替えを強く推奨します。

Q. 家庭用のAtermを業務で使い続けても問題ありませんか？ A. Atermは主にコンシューマー・SOHO向け製品です。重要拠点や個人情報を扱う環境では、VLAN分離・詳細なログ管理・アクセス制御・VPNなどに対応したビジネス向け機器の導入を検討してください。拠点の重要度に応じて機器の格を選ぶのが、コストとリスクのバランスの取り方です。

Q. 「21機種」と聞きましたが、公式では機種数が違うようです。 A. 家庭用Atermとして21機種が影響と広く報道されました。一方、NEC公式の対策一覧には、ファーム更新機種・生産終了機種に加え、プロバイダ提供（ISP貸与）系モデルも含まれるため、数え方で機種数の表現が変わります。対象機種・最新バージョンは随時更新されるので、最終確認は必ずNEC公式のNV26-001で行ってください。

---

まとめ

今回の脆弱性は「LAN側からのみ」という制約があり、緊急度は最高レベルではありません。しかし、マルウェア感染端末からの横展開やIoT経由の攻撃を考えれば、対策を後回しにする理由にはなりません。特に生産終了機種はこの機会に確実に買い替え、そして次に同じ騒ぎを繰り返さないために、ネットワーク機器のサポート終了を前もって管理する運用へ切り替えてください。セキュリティニュースは、読むだけでは防御力になりません。「自社資産・影響判定・対応期限・経営報告」に変換して初めて、会社を守る力になります。

---

参考情報（一次・公式ソース）

• NEC製品セキュリティ情報「NV26-001」（2026年3月26日公開）: https://jpn.nec.com/security-info/secinfo/nv26-001.html
• JVN#89339669「NEC Atermシリーズにおける複数の脆弱性（NV26-001）」: https://jvn.jp/jp/JVN89339669/
• Aterm サポートデスク（サポート終了品の確認）: https://www.aterm.jp/support/kishu2.html
• Security NEXT「NEC製ルータ『Aterm』シリーズに脆弱性 - 21モデルに影響」: https://www.security-next.com/182974
• ケータイ Watch「NECの『Aterm』に複数の脆弱性、サポート終了済み製品も対象」: https://k-tai.watch.impress.co.jp/docs/news/2099415.html
• ASCII.jp「NEC『Aterm』シリーズに複数の脆弱性 アップデートまたは買い換えを推奨」: https://ascii.jp/elem/000/004/387/4387155/

※本記事の脆弱性内容・CVSS・対象機種は上記の公式情報および報道に基づく執筆時点の整理です。対象機種・対策バージョンは更新される場合があるため、実施前に必ずNEC公式のNV26-001および各機種のサポートページで最新情報をご確認ください。