Calix製ルーターに未修正のCVE-2026-75501、認証なしでNAT設定を変更可能　CERT/CCが注意喚起

Carnegie Mellon UniversityのCERT Coordination Center（CERT/CC）は2026年8月21日、Calix製の家庭向けルーター「GS7 XGS（GS5239XG）」に、認証なしでNATのポート転送設定を変更できる脆弱性「CVE-2026-75501」が存在すると公表しました。

CERT/CCによると、影響を受ける機器ではUPnPの制御サービスが本来想定されるLAN側だけでなくWAN側にも公開され、認証を要求せずに重要な操作を受け付けます。これにより、インターネット側の第三者が任意のポート転送設定を作成し、LAN内のカメラ、NAS、IoT機器など、本来インターネットへ直接公開されていないサービスを外部から到達可能な状態にするおそれがあります。

8月25日時点でCERT/CCはCalixから脆弱性に関する声明を受け取っておらず、修正版ファームウェアも案内されていません。暫定策としてUPnPを無効化するか、WAN側から対象サービスへの通信を遮断するよう呼びかけています。

CVE-2026-75501のサマリー

• 確認済み：CERT/CCは2026年8月21日、CVE-2026-75501をVU#756733として公開しました。
• 確認済み：対象はCalix GS7 XGS（GS5239XG）住宅向けルーターです。
• 確認済み：CERT/CCはEXOS/6.6.47で脆弱性を確認しています。NVDのCVEレコードではEXOS/6.6.47以下が影響対象として登録されています。
• 確認済み：脆弱性の種類は、重要機能に対する認証欠如（CWE-306）です。
• 確認済み：UPnPのWANIPConnection制御サービスがWAN側へ公開され、認証なしでNATのポート転送設定を追加・削除・列挙できる状態になります。
• 確認済み：悪用された場合、LAN内のカメラ、NAS、管理画面、IoT機器などをインターネットから到達可能な状態にされるおそれがあります。
• 注意点：脆弱性の悪用だけでLAN内機器そのものへの侵入が自動的に成立するわけではありません。「内部サービスの外部公開」と、その後の「内部機器の侵害」は分けて考える必要があります。
• 確認済み：研究者Brian Khan Quintana氏は自身の機器を用いて脆弱性を再現し、技術情報とPoCを公開しています。
• CVSS：研究者はCVSS v3.1で9.1（Critical）と評価しています。一方、8月25日時点でNVD自身のCVSS評価は未掲載です。
• 修正状況：CERT/CCは「ベンダーパッチが利用可能になるまで」として暫定策を案内しており、Calixからのベンダー声明は受領していないとしています。
• 悪用状況：実際の攻撃で悪用されていることを示す一次情報は確認できませんでした。
• CISA KEV：8月25日時点でCVE-2026-75501の掲載は確認できませんでした。
• 暫定策：UPnPを無効化し、設定変更できない場合はISPへ無効化を依頼するか、WAN側から対象サービスへの通信を遮断します。

項目	内容
CVE	CVE-2026-75501
CERT/CC	VU#756733
公開日	2026年8月21日
ベンダー	Calix
対象製品	GS7 XGS（GS5239XG）
対象ファームウェア	CERT/CCはEXOS/6.6.47で確認。NVDではEXOS/6.6.47以下を影響対象として登録
脆弱性	重要機能に対する認証欠如
CWE	CWE-306
攻撃条件	WAN側から到達可能、認証不要
主な影響	NATポート転送設定の追加・削除・列挙、LAN内サービスの外部公開
CVSS	研究者評価 CVSS v3.1 9.1 Critical。NVD評価は未掲載
PoC	研究者が公開済み
実攻撃での悪用	確認できませんでした
CISA KEV	8月25日時点で掲載を確認できず
修正版	8月25日時点でCERT/CCから案内なし
暫定策	UPnP無効化、ISPへの無効化依頼、WAN側から対象サービスへの通信遮断

WAN側にUPnP制御サービスを公開、認証も要求せず

CVE-2026-75501の問題は、Calix GS7 XGS（GS5239XG）のUPnP制御サービスがWAN側から到達できる状態になっていることです。

CERT/CCによると、対象機器ではMiniUPnPd 2.3.7によって実装されたUPnP機能が利用されており、影響を受けるファームウェアでは、NATのポート転送を管理するWANIPConnectionサービスが公開側インターフェースでも待ち受けています。

さらに、この制御機能はWAN側からの要求に対して認証を要求しません。

そのため、インターネットから対象ルーターへ到達できる第三者が、認証を経ずにポート転送設定を追加、削除、列挙したり、外部IPアドレスを取得したりできる可能性があります。

本来、UPnPによる自動ポート開放はLAN内のゲーム機やアプリケーションなどがルーターへ要求することを想定した仕組みです。今回の問題では、LAN内からの利用を前提とする制御機能がWAN側にも露出したことで、信頼境界が崩れています。

NATとファイアウォールを迂回し、LAN内機器を外部公開できる

家庭や小規模拠点のルーターでは、NATやファイアウォールによってインターネットからLAN内の機器へ直接接続できない構成が一般的です。

CVE-2026-75501を悪用すると、攻撃者はこのルーターにポート転送設定を追加し、外部からの通信をLAN内の特定機器へ転送させることができます。

CERT/CCは影響例として、セキュリティカメラ、NAS、その他のIoT機器を挙げています。管理用Web画面など、本来LAN内部だけで使うことを想定したサービスが外部へ公開されれば、その機器に別の脆弱性や弱い認証設定が存在した場合、二次的な侵害につながる可能性があります。

ただし、ここでは「Exposure」と「Compromise」を混同しないことが重要です。

CVE-2026-75501を悪用してポートを開放できたとしても、それだけでNASやカメラなどへのログインやコード実行が成立したことにはなりません。本脆弱性が直接可能にするのは、NAT・ファイアウォール境界を迂回して内部サービスをインターネットへ露出させることです。

その後、その内部機器に弱いパスワードや別の脆弱性があれば、追加の侵害へ発展する可能性があります。

研究者は自身のルーターで再現、PoCも公開

脆弱性を発見したセキュリティ研究者Brian Khan Quintana氏は、自宅に設置された自身のCalix GS5239XGを調査する過程で問題を発見しました。

同氏によると、外部ネットワークからルーターのUPnP制御サービスへアクセスし、認証なしでポート転送設定を作成できることを確認しました。また、期限なしで作成した設定がルーターの再起動後にも残ったと報告しています。

研究者は8月21日の公開に合わせて技術的な詳細とPoCを公開しています。

本記事では悪用可能な具体的なリクエスト内容や攻撃手順は掲載しません。

研究者は本脆弱性をCVSS v3.1で9.1（Critical）と評価しています。一方、8月25日時点でNVDのCVEページにはNVD自身によるCVSSスコアは掲載されていません。

したがって、「CVSS 9.1」は研究者による評価として区別する必要があります。

NVDはEXOS/6.6.47以下を影響対象として登録

NVDのCVE-2026-75501レコードでは、Calix GS7 XGS（GS5239XG）について、EXOSファームウェア6.6.47以下を影響対象として登録しています。

CERT/CCのVulnerability Noteは、GS5239XGでEXOS/6.6.47を実行している機器に脆弱性が存在すると説明しています。

そのため、少なくともEXOS/6.6.47は影響を受けることが確認されています。

一方、Calix自身から脆弱性の対象バージョン一覧や、修正版との境界を示すセキュリティアドバイザリは8月25日時点で確認できません。

ISPが独自に管理・配布しているファームウェアも考えられるため、利用者や通信事業者は機器のモデル名だけでなく、実際に適用されているEXOSバージョンとUPnP設定を確認する必要があります。

6月から調整、CERT/CCはCalixから声明を受領できず

研究者が公開した経緯によると、Quintana氏は6月7日にCalix、利用しているISP、CERT/CCへ脆弱性情報を連絡しました。

その後、6月26日にCERT/CCへ正式な脆弱性報告を行い、CERT/CCは翌27日にVU#756733として調整を開始したとしています。

CERT/CCの公開記録では、Calixへの通知日は7月7日、8月21日時点のベンダーステータスは「Unknown」で、ベンダー声明は受領していないと記載されています。

研究者は7月29日にもCalixの製品セキュリティ報告フォームを利用して再度報告したとしていますが、実質的な返答は得られなかったと説明しています。

最終的にCERT/CCは8月21日に脆弱性を公開しました。

Calixは一般向けのセキュリティページで脆弱性報告窓口を案内していますが、CVE-2026-75501に関する個別の公式アドバイザリや修正版情報は、8月25日時点で確認できませんでした。

「未修正」はCERT/CCの公開状況に基づく

BleepingComputerは本件を「Unpatched Calix flaw」と報じています。

一次情報であるCERT/CCも、解決策の欄で「ベンダーパッチが利用可能になるまで」UPnPを無効化するよう案内しており、Calixとの調整に成功しなかったと説明しています。

このため8月25日時点では、公開されている修正版を確認できない「未修正」の脆弱性として扱うことができます。

ただし、Calix自身が「修正予定なし」と表明したわけではありません。今後、ベンダーやISPから新しいファームウェアが提供される可能性があるため、利用者は最新情報を継続して確認する必要があります。

実攻撃での悪用は確認できず、CISA KEVにも未掲載

研究者は自身が所有する機器に対して脆弱性を実証していますが、第三者が実環境のCalixルーターを攻撃していることを示す一次情報は確認できませんでした。

CERT/CCのVulnerability Noteにも、実際の攻撃で悪用されているとの記述はありません。

また、8月25日時点でCISAのKnown Exploited Vulnerabilities（KEV） CatalogにCVE-2026-75501が掲載されていることも確認できませんでした。

このため、「すでに攻撃で悪用されている」「攻撃者が多数のCalixルーターを侵害している」と断定することはできません。

一方で、研究者がPoCを公開しており、脆弱性の技術的詳細が公知となっているため、対象機器の利用者やISPは悪用確認を待たずに暫定策を検討する必要があります。

修正版がないためUPnP無効化が暫定策

CERT/CCは、ベンダーの修正版が利用可能になるまで、ルーターの管理画面からUPnPを無効化するよう推奨しています。

UPnPを停止すると、ゲーム機などが利用する自動的なポート開放が動作しなくなる場合があります。その場合、必要な通信だけを手動で設定することが考えられます。

ただし、ISPから提供された機器ではUPnP設定が利用者側から変更できない場合があります。

CERT/CCは、この場合はISPへ連絡し、キャリア側でUPnPを無効化するよう依頼することを案内しています。

また、ネットワーク側でWANから当該UPnP制御サービスへの通信を遮断することも緩和策として挙げています。

ISP・ネットワーク管理者への示唆

CVE-2026-75501は家庭向けルーターの脆弱性ですが、ISPから加入者へ配布・管理されるCPEである点が重要です。

利用者自身がファームウェアを自由に更新できない、UPnP設定がロックされているといった構成では、エンドユーザーだけでは対策を完結できません。

通信事業者は、管理下にあるGS5239XGの台数とファームウェアバージョンを把握し、WAN側から不要なUPnP制御サービスへ到達できる状態になっていないかを確認する必要があります。

パッチが提供されるまでの間は、ネットワーク側でのフィルタリングや、管理ポリシーによるUPnP停止など、加入者端末に依存しない緩和策も検討対象になります。

また、本脆弱性によって新たなポート転送設定が作成される可能性があるため、既存のポートマッピングを確認し、意図しない設定が存在しないかを点検することも有効です。

企業で同型機を小規模拠点や在宅勤務者向けに利用している場合も、ルーターだけを見るのではなく、その背後にあるNAS、監視カメラ、管理画面、業務端末などが外部公開された場合の影響を確認する必要があります。

セキュリティ対策Labでは、ルーターのWAN側公開機能やUPnPを含むハードニングについて「ASUS DSLルーターに重大な認証回避の脆弱性（CVE-2025-59367）」でも取り上げています。

出典

• VU#756733 – Calix GS7 XGS GS5239XG residential router contains missing authentication vulnerability – CERT/CC
• CVE-2026-75501 – National Vulnerability Database
• The Router in My Living Room Was Taking Orders From Strangers (VU#756733) – Brian Khan Quintana
• Calix Security – Calix
• GigaSpire Wi-Fi 7 Appliances – Calix
• Known Exploited Vulnerabilities Catalog – CISA
• CISA KEV data mirror – CISA GitHub
• Unpatched Calix flaw lets hackers bypass NAT to expose internal devices – BleepingComputer
• ASUS DSLルーターに重大な認証回避の脆弱性（CVE-2025-59367） – セキュリティ対策Lab