D-Link DIR-822Aにパッチ未提供の最大深刻度ゼロデイ、PoC公開でDHCP経由の攻撃が可能に

概要

D-Linkは、サポート終了済みのレガシー製品DIR-822Aルーターに影響するCVSS最大値10.0のゼロデイ脆弱性CVE-2026-86296について警告を発した。脆弱性はDHCPデーモン(udhcpcd)のserverpacket.cにおけるstrcpy関数の不適切な使用に起因するスタックベースのバッファオーバーフローで、細工したDHCPパケットを送信するだけでDHCPデーモンをクラッシュさせたり、リモートコード実行につなげたりできる。認証やユーザー操作は一切不要で、攻撃者は同一ローカルネットワーク上に位置していれば悪用可能となる。すでに公開の概念実証(PoC)コードが出回っている一方で、D-Linkからのパッチはいまだ提供されていない。

技術的な詳細と影響範囲

D-Linkはあわせて、L2TPコントロールメッセージパーサーにおける境界外書き込みの脆弱性CVE-2026-86510(深刻度: Critical)も公開した。こちらはWAN接続にL2TPまたはL2TPv6を利用している機器が対象となる。両脆弱性ともに公開PoCエクスプロイトコードが存在するとD-Link自身が認めており、対象となる具体的なハードウェアリビジョンやファームウェアバージョンについては現在も特定作業が続けられている。DIR-822Aはすでにサポート終了(EOL)となっている旧世代の家庭用ルーターであり、ベンダーによる恒久的な修正パッチが今後提供されるかどうかは不透明な状況だ。

対応と今後の見通し

パッチが存在しない現状、D-Linkはユーザーに対し、DIR-822Aルーターをインターネットに直接公開しないこと、リモート管理機能を無効化または制限すること、ファイアウォールによる管理アクセスの制限といった緩和策を講じるよう呼びかけている。サポート終了製品であるため、ユーザー自身による恒久対策としては、より新しい後継機種への切り替えも現実的な選択肢となる。今回のようにEOL製品において最大深刻度かつPoC公開済みの脆弱性が明らかになるケースは、家庭用ネットワーク機器の長期利用に伴うリスクを改めて浮き彫りにしており、パッチ供給が止まった機器の継続利用そのものを見直す契機ともなりそうだ。