CVEウォッチ

【注意喚起】Comfast CF-AC100にリモートからのコマンドインジェクション脆弱性（CVE-2026-3798）

March 9, 2026 ·

概要

Comfast CF-AC100バージョン2.6.0.8において、リモートからのコマンドインジェクションの脆弱性（CVE-2026-3798）が報告されました。この脆弱性は、/cgi-bin/mbox-config?method=SET&section=ping_configパスのsub_44AC14関数における入力処理の不備に起因するとされています。攻撃者はこの脆弱性を悪用し、対象デバイス上で任意のOSコマンドを実行する可能性があります。

本脆弱性のエクスプロイトコードは既に公開されており、悪用される危険性が高まっています。ベンダーからは現時点で公式な対応に関する情報が提供されていません。

影響範囲

  • 対象製品: Comfast CF-AC100
  • 対象バージョン: 2.6.0.8

想定される影響

この脆弱性が悪用された場合、以下のような影響が想定されます。

  • 攻撃者が対象のComfast CF-AC100デバイス上で任意のOSコマンドをリモートから実行する可能性があります。
  • これにより、デバイスの不正な設定変更、機密情報の窃取、サービス停止、またはデバイスを足がかりとした内部ネットワークへの侵入など、深刻な被害につながる危険性があります。

攻撃成立条件・悪用状況

  • 本脆弱性はリモートから悪用される可能性があります。
  • エクスプロイトコードが既に公開されており、攻撃者が容易に悪用できる状況にあると報告されています。
  • ベンダーからは現時点（2026年3月9日時点）で、この脆弱性に対する公式なパッチや緩和策に関する情報提供はありません。

推奨対策

今すぐできる対策（優先度：高）

  • 製品の使用停止またはネットワークからの隔離: ベンダーからの公式パッチやファームウェアアップデートが提供されるまで、対象バージョンのComfast CF-AC100の使用を停止するか、インターネットおよび内部ネットワークから完全に隔離することを強く推奨します。
  • 代替製品の検討: セキュリティリスクを回避するため、代替となるネットワーク機器への移行を検討してください。

中長期的な対策

  • 情報収集の継続: Comfast社からの公式発表やセキュリティアドバイザリに常に注意を払い、新たな情報が公開され次第、速やかに対応を検討してください。

一時的な緩和策

  • アクセス制限の強化: 当該デバイスへの外部からのアクセスを厳しく制限し、信頼できるIPアドレスからのアクセスのみを許可するようファイアウォール設定を見直してください。可能であれば、管理インターフェースへのアクセスをVPN経由に限定するなどの対策も有効です。
  • ネットワークセグメンテーション: 当該デバイスを他の重要なシステムから隔離されたネットワークセグメントに配置し、万が一の侵害時にも被害が拡大しないよう対策を講じてください。

確認方法

  • 現在ご使用のComfast CF-AC100のファームウェアバージョンが2.6.0.8であることを確認してください。
  • デバイスのシステムログやネットワークトラフィックを定期的に監視し、不審なコマンド実行や異常な通信がないか確認してください。

参考情報