2025年11月13日 ASUSは、DSLシリーズの一部ルーターに認証回避の脆弱性（CVE-2025-59367、CVSS v4.0：9.3／Critical）が存在すると発表しました。本脆弱性により、攻撃者が正規の資格情報なしに装置へリモートアクセスできる可能性があり、家庭および中小企業のネットワークに重大な影響を及ぼすおそれがあります。ASUSは対象機種向けに修正版ファームウェア 1.1.2.3_1010を公開しており、ただちに更新するよう強く推奨しています。
対象機種と修正版ファーム
ASUSがリリースで明示した対象機種と修正版ファームウェアは次のとおりです。
| 機種 | 修正版ファームウェア |
|---|---|
| DSL-AC51 | 1.1.2.3_1010 |
| DSL-N16 | 1.1.2.3_1010 |
| DSL-AC750 | 1.1.2.3_1010 |
※同一バージョン（1.1.2.3_1010）が各機種向けに提供されています。お使いの機種の製品ページまたはASUSサポートサイトで該当ファームを入手してください。
リスク
本件は「認証バイパス」に分類される欠陥で、悪用されると次のようなリスクが想定されます。
-
管理画面への不正ログイン／設定改ざん
-
ルーター経由の通信ハイジャックや盗聴
-
不正な永続化（マルウェアの導入）やボットネット化への悪用
-
ポート転送・DMZの悪用による内部機器への横展開
-
機種名・現在のファーム版を確認（管理画面の［ステータス］等）
-
設定のバックアップを取得
-
機種ページから1.1.2.3_1010をダウンロードし、手動アップデート
-
再起動後、ファーム版が1.1.2.3_1010であることを確認
-
管理者パスワードを長く複雑かつ一意の値に変更（Wi-Fi用とは別に）
-
WAN側からの管理アクセスは無効にし、UPnPや不要な転送設定は閉塞
-
定期的に新しいファーム／セキュリティ告知を確認
サポート終了（EOL）機種の暫定ハードニング
一部の古いDSLルーターはEOL（サポート終了）のため修正ファームが提供されません。ASUSは、少なくとも次のインターネット側に露出する機能を停止するよう案内しています（恒久対策は機器更新の検討です）。
-
WAN側リモート管理
-
ポート転送／ポートトリガ
-
DDNS
-
VPNサーバ
-
DMZ
-
FTP
あわせて、管理用・Wi-Fi用で異なる強力なパスワードを設定し、使い回しは厳禁です。
関連記事
古いIPカメラのゼロデイ脆弱性を悪用するマルウェア(CVE-2024-7029)
ASUS DriverHubに深刻な脆弱性、ウェブサイト経由で管理者権限のコマンド実行が可能(CVE-2025-3462、CVE-2025-3463)
Cisco ISEに高深刻度のDoS 脆弱性（CVE-2025-20343）
CISA、D-Link製EOL監視カメラ等に関する3件の深刻な脆弱性を既知の悪用済み脆弱性カタログに追加
SolarWinds、高リスクの複数の脆弱性を修正(CVE-2025-40547,CVE-2025-40548,CVE-2025-40549)
日本光電のセントラルモニタ「CNS-6201」にDoS 脆弱性-対象はサポート終了品(CVE-2025-59668)
CISAがF5/BIG-IP 製品の即時点検と更新を米連邦機関に命令
ASUS Armoury Crateに深刻な脆弱性、ローカル環境から管理者権限の奪取が可能に(CVE-2025-3464)
Twilioが提供するMFA「Authy」へ不正アクセス 3,300万件のデータ漏洩の可能性
