概要
Wavlink WL-NU516U1のファームウェアバージョン240425において、クロスサイトスクリプティング（XSS）の脆弱性（CVE-2026-4166）が発見されました。この脆弱性は、`/cgi-bin/login.cgi`ファイル内の`sub_404F68`関数が`homepage`または`hostname`引数を処理する方法に問題があることに起因します。攻撃者はこの脆弱性を悪用することで、リモートから悪意のあるスクリプトを実行させる可能性があります。
影響範囲
- Wavlink WL-NU516U1 ファームウェアバージョン240425
想定される影響
本脆弱性が悪用された場合、攻撃者はユーザーのブラウザ上で任意のスクリプトを実行させる可能性があります。これにより、セッションハイジャック、情報の窃取（クッキーや認証情報など）、フィッシング攻撃、マルウェアのダウンロードなど、様々な被害が発生する恐れがあります。
攻撃成立条件・悪用状況
本脆弱性はリモートから攻撃が可能と報告されています。
既にエクスプロイトコードが公開されており、悪用される危険性があるため、早急な対応が推奨されます。
推奨対策
今すぐできる対策（優先度：高）
- ファームウェアの更新: ベンダーであるWavlinkから提供される最新のファームウェアに速やかにアップデートしてください。これにより、本脆弱性が修正される可能性があります。
- Wavlink WL-NU516U1の利用状況確認: 自社環境で対象製品が利用されていないか確認し、利用している場合は対策を検討してください。
中長期的な対策
- セキュリティ監視の強化: ウェブアプリケーションファイアウォール（WAF）などを導入し、XSS攻撃パターンを検知・ブロックする設定を強化することを検討してください。
- 従業員への注意喚起: 不審なリンクやメールを開かないよう、従業員へのセキュリティ意識向上トレーニングを継続的に実施してください。
一時的な緩和策
現時点では、具体的な一時的な緩和策に関する情報はありません。ファームウェアの更新が最も効果的な対策と考えられます。
対象製品をインターネットに直接公開している場合は、アクセス制限を設けるなどの対策も検討してください。
確認方法
- 利用しているWavlink WL-NU516U1のファームウェアバージョンが240425であるかを確認してください。
- ベンダーからのセキュリティアドバイザリやパッチ情報が公開されていないか、定期的に確認してください。