ブログ
ヤマハNWR100に深刻な脆弱性｜Rev.26.00.08へ更新を
2026年10月28日、ヤマハは無線LANルーター「NWR100」のファームウェアに脆弱性が2件あると公表し、同日にJVN（JVNVU#91027179）にも掲載されました。対象は Rev.26.00.07 以前 で、対策済みの Rev.26.00.08 が公開されています。ヤマハは、ほかのヤマハ製ルーター・UTM・無線LANアクセスポイント・スイッチは対象外としています。
この記事の要点
- 対象はヤマハ NWR100 の Rev.26.00.07 以前。Rev.26.00.08 へ更新すれば対策できます
- 攻撃の前提は「NWR100 の管理画面（Web GUI）に届くこと」。初期設定ではインターネット側から管理画面に入れませんが、ポート開放で外に出している場合や、Wi-Fiでつながった端末からは狙われるおそれがあります
- ヤマハの公表文・JVNのいずれにも、悪用が確認されたという記載はありません
結論：NWR100を使っているなら、今週中にファームウェアを更新する
NWR100 が事務所にあるなら、まず版数を確かめ、Rev.26.00.07 以前なら Rev.26.00.08 へ更新 してください。1件は深刻度が高く（CVSS v3.1 で 9.8）、管理画面に特定の通信を送るだけで機器上で命令を実行されるおそれがあります。すぐ更新できない場合は、管理画面に入れる端末を限定する設定で危険を下げられます。
背景：対象の版数と2件の脆弱性
公表された内容を、対象と脆弱性に分けて整理します。
| 製品 | 対象の版数 | 対策済みの版数 |
|---|---|---|
| ヤマハ 無線LANルーター NWR100 | Rev.26.00.07 以前 | Rev.26.00.08 |
| ほかのヤマハ製ルーター、UTM、無線LANアクセスポイント、L2/L3スイッチ | 対象外（ヤマハ発表） | — |
| 番号 | 内容 | 深刻度（CVSS） |
|---|---|---|
| CVE-2026-97854 | 特定のリクエストを送ると、任意のOSコマンドが実行されるおそれ | v3.1：9.8／v4.0：9.3 |
| CVE-2026-109822 | 設定の書き出し機能で作ったCONFIGファイルを、ログインなしで読み取られるおそれ | v3.1：6.5／v4.0：7.1 |
ヤマハは、攻撃が成功した場合の影響として、不正なコードの実行、設定の変更、サービス妨害（DoS）、設定情報の漏えいを挙げています。
現場で確認する点
1. 対象かどうかを確かめる
まず本体の型番が NWR100 かを確認します。版数は、管理画面の ［管理］－［保守］－［ファームウェアの更新］ で「ネットワーク経由でファームウェアを更新」の「進む」を選ぶと、現在のリビジョンと更新できるリビジョンが表示されます（ヤマハの技術資料による）。
2. 更新する
上の画面で更新できるリビジョンを確認して「実行」を押すと、ダウンロード後に更新され、自動で再起動 します。再起動中は社内のネットとWi-Fiが止まるため、業務の少ない時間に行ってください。PCに保存したファイルから更新する方法もあります。
3. 管理画面を外に出していないか
初期設定ではインターネット側から管理画面に入れません。外出先から設定するためにポート開放をしている場合は、更新が済むまで外部公開を止める ことを検討してください。
4. すぐ更新できないときの回避策
ヤマハは、IPフィルターや管理画面へのアクセス管理で、管理画面に入れる端末やアクセス元を限定する ことを回避策として示しています。来客用Wi-Fiなど、誰でもつながるWi-Fiから管理画面に届く状態は避けてください。
ひとこと：2件目は「書き出したCONFIGファイル」を読み取られるおそれがあるものです。更新後も、書き出した設定ファイルを共有フォルダやメールに置きっぱなしにしていないか、あわせて見直しておくと安心です。
沼津市・三島市など静岡県東部の事務所や店舗で NWR100 を使っている場合も、まずは版数の確認から始めてください。
関連ページ：業務用Wi-Fi構築／バッファロー製Wi-Fiルーター・中継機に脆弱性｜更新の確認を
GT.engineerの対応範囲
ルーターの版数確認から更新、管理画面の公開状態の見直しまでお手伝いします。他社が設置したルーターの確認もご相談ください。
- NWR100 の版数確認とファームウェア更新（業務の少ない時間帯での作業）
- 管理画面の外部公開・ポート開放の有無の確認と、アクセス元の制限設定
- 来客用Wi-Fiと社内ネットワークの分け方の見直し、機器入れ替えの相談
お問い合わせ
「NWR100 かどうか分からない」「管理画面のパスワードが分からない」という段階からご相談いただけます。
ご相談の際は、型番が分かる本体ラベルの写真、管理画面のバージョン表示、台数をお送りいただくと、対象かどうかをすぐに確認できます。
有限会社GT.engineer（静岡県三島市長伏52-3）の訪問対応エリアは、沼津市・三島市・清水町・長泉町・伊豆全体・神奈川県西部です。
出典：ヤマハ「NWR100における複数の脆弱性について」／JVN「JVNVU#91027179 ヤマハ製NWR100における複数の脆弱性」／ヤマハ NWR100 技術資料「ファームウェアの更新」（いずれも2026年10月29日確認）
