TP-Link Archer AX53に複数の脆弱性(CVE-2026-30815,CVE-2026-30818)|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年04月13日更新日時: 2026年04月13日

TP-Linkは2026年4月8日、Archer AX53 v1.0に複数の脆弱性が存在するとして、セキュリティアドバイザリを公開しました。今回公表されたのは、OpenVPN、dnsmasq、tmpServerの各モジュールに関係する5件で、内訳はOSコマンドインジェクション2件、バッファオーバーフロー1件、任意ファイル読み取り2件です。TP-Linkは、影響を受けるのは Archer AX53 v1.0 の 1.7.1 Build 20260213 未満であり、利用者に対して最新ファームウェアへの更新を強く推奨しています。

今回の件で特に注目されるのは、OSコマンドインジェクションがOpenVPNとdnsmasqの両方で確認されている点です。いずれも細工された設定ファイルの処理時に不十分な入力検証が原因で発生し、TP-Linkは成功した場合、設定変更、機密情報の開示、さらなるシステム侵害につながる可能性があると説明しています。CVSS v4.0のスコアは8.5で、高リスクに分類されています。

1 何が見つかったのか
2 影響を受けるバージョンと対策版
3 直前にも別の脆弱性が修正されていた
4 情報システム部門が押さえるべき点

何が見つかったのか

今回のアドバイザリで公表された5件のうち、最も重いのは CVE-2026-30815 と CVE-2026-30818 です。前者はOpenVPNモジュール、後者はdnsmasqモジュールに存在するOSコマンドインジェクションで、いずれも認証済みの隣接攻撃者が、細工された設定ファイルを処理させることでシステムコマンドや任意コードを実行できる可能性があるとされています。TP-Linkは、この2件をまとめてCVSS v4.0スコア8.5のHighと評価しています。

これに加え、tmpServerモジュールでは CVE-2026-30814 としてスタックベースのバッファオーバーフローも公表されました。こちらも認証済みの隣接攻撃者が、細工された設定ファイルを使ってサービス停止や、条件次第では任意コード実行を引き起こす可能性があるとされています。TP-Linkの評価はCVSS v4.0スコア7.3のHighです。

さらに、CVE-2026-30816 と CVE-2026-30817 では、OpenVPNおよびdnsmasq関連で任意ファイル読み取りの問題も修正されています。TP-Linkは、悪意ある設定ファイルが処理された場合に、デバイス上の任意ファイルへ不正アクセスされ、機密情報が露出する可能性があると説明しています。こちらの深刻度はCVSS v4.0スコア6.8のMediumです。

影響を受けるバージョンと対策版

TP-Linkの公式アドバイザリでは、影響を受ける製品は Archer AX53 v1.0、影響を受けるバージョンは 1.7.1 Build 20260213 未満と明記されています。

したがって、対策としては 1.7.1 Build 20260213 以降へ更新することが基本になります。TP-Linkは英語版とマレーシア向けダウンロードページへの導線も示し、対象ユーザーへ早急な更新を求めています。

今回の脆弱性は、いずれも認証済みかつ隣接ネットワーク上の攻撃者という条件が付いています。このため、インターネット越しに誰でも即座に悪用できる類いの未認証RCEとは性質が異なります。ただし、無線LANやローカルネットワークに足場を持つ相手、あるいはすでに認証情報を持つ攻撃者に対しては、ルーター制御の乗っ取りや情報窃取の踏み台になり得るため、後回しにしてよい脆弱性ではありません。

直前にも別の脆弱性が修正されていた

Archer AX53 v1では、今回の5件とは別に、2026年3月20日にも2件の脆弱性に関するアドバイザリが公開されていました。そこでは、mscdサービスのデバッグ機能に起因するコマンドインジェクション CVE-2025-15607 と、ネットワークprobe処理のバッファオーバーフロー CVE-2025-15608 が案内されており、影響を受けるのは 251029 未満のバージョンとされています。TP-Linkは、これらについても最新ファームウェアへの更新を推奨しています。

この流れを見ると、Archer AX53 v1系統では2026年春にかけて複数のセキュリティ問題が続けて表面化していることになります。1回の更新で安心と考えるのではなく、直近のアドバイザリ全体を確認したうえで、適切なビルドへ追従できているかを点検する必要があります。

情報システム部門が押さえるべき点

家庭用ルーターや小規模拠点向けルーターの脆弱性は、企業システムのような大規模障害には見えにくい一方で、実際には通信内容の観測、設定改ざん、横展開の足がかりとして使われやすいです。今回のArcher AX53の問題も、設定ファイル処理やサービスモジュールの脆弱性が中心であり、侵害後の持続的なアクセス基盤になり得ます。特に、在宅勤務環境や小規模拠点で同型機器を使っている場合は、個人利用機器として放置せず、資産として把握して更新状況を確認する必要があります。