CVE-2026-120196

🔴 WAVLINK WN579X3-D: os command injection in wapi.cgi port_forward (CVE-2026-120196) A network attacker can inject OS commands through the Name parameter and potentially take control of the device. No patch listed yet https://cve.now/CVE-2026-120196?utm_source=x&utm_medium=social&utm_campaign=cvedotnow&utm_content=critical

【11/1 夕方】CVE・脆弱性ニュースまとめ ■国内 前回（11/1 昼）以降、国内ベンダー製品やJVN・IPA・JPCERT/CCの注意喚起で、新たに対象となるものはありませんでした。 ■海外 ① WAVLINK「無線LANルーター・中継器 4機種」：管理画面の処理にOSコマンドインジェクション、リモートから機器を乗っ取られるおそれ（CVE-2026-120195／120196／120197／120198、CVSS v3.1 9.9〜10.0、実証コード公開済み） 中国WAVLINKの無線LAN機器4機種で、Web管理画面のCGIが受け取った値をそのままOSのコマンドに渡してしまう脆弱性が、日本時間1日正午から午後1時すぎにかけてhttp://cve.orgへ相次いで登録されました。対象はWL-WN579A3-A（2026-03-10-94f93d4、初期設定ウィザードのSSID欄）、WN579X3-D（V250402）とWL-WN530HG4B（M_V260724、いずれもポート転送設定の名前欄）、WL-WN530BE1-A（V251117、protocol.cspの処理）です。登録元のVulDBによると、WL-WN579A3-AとWL-WN530BE1-Aの2件は認証なしでネットワーク越しに攻撃でき（CVSS 10.0）、残る2件はログインできる立場からの攻撃が前提です（CVSS 9.9）。いずれも攻撃の実証コード（PoC）がすでに公開されていますが、実際の攻撃に使われたという報告は確認できていません。ベンダーには事前に連絡したとされていますが、修正版の公開は現時点で確認できないため、管理画面をインターネット側に公開しない、初期パスワードを変える、といった対策をおすすめします。 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120195 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120196 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120197 出典：http://cve.org https://www.cve.org/CVERecord?id=CVE-2026-120198 出典：VulDB https://vuldb.com/vuln/429558 ■注意点 ・米CISAのKEVは1日夕方の時点でも、30日のIvanti Connect Secure 2件以降の追加がありません。Ivanti Connect Secure（CVE-2026-111357）の米連邦機関向け対応期限は11月2日（米国時間）です。 ・WAVLINKの同じ型番を使っている場合は、メーカーサイトで新しいファームウェアが出ていないか確認し、管理画面が外から見えない設定になっているかを見直しておくと安心です。 #脆弱性 #CVE #サイバーセキュリティ