JVN#49524110
シャープ製ルーター製品における一部のweb APIに対する認証欠如の脆弱性

シャープ株式会社が提供する複数のルーター製品において、web APIの一部を認証なしに使用可能です。

株式会社NTTドコモ向け

• home 5G HR01 バージョン 38JP_0_490およびそれ以前
• home 5G HR02 バージョン S5.A1.00およびそれ以前
• Wi-Fi STATION SH-52A バージョン 38JP_2_03Jおよびそれ以前
• Wi-Fi STATION SH-52B バージョン S3.87.15およびそれ以前
• Wi-Fi STATION SH-54C バージョン S6.64.00およびそれ以前

• 5Gモバイルルーター SH-U01 バージョン S4.48.00およびそれ以前
• Pocket WiFi 5G A503SH バージョン S7.41.00およびそれ以前

• Speed Wi-Fi 5G X01 バージョン 3RJP_2_03Iおよびそれ以前

シャープ株式会社が提供する複数のルーター製品において、web APIの一部を認証なしに使用可能です。

これらのweb APIでは当該機器に関する情報を提供しています。また、管理者パスワードは当該機器に関する情報に基づいて初期設定されています。

• 重要な機能に対する認証の欠如（CWE-306）
  • CVSS:4.0/AV:A/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N 基本値 6.9
  • CVSS:3.0/AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N 基本値 5.7
  • CVE-2026-32326

当該機器に関する情報を認証なしに取得される可能性があります。
管理者パスワードを初期設定のまま使用している場合、当該機器が不正アクセスを受ける可能性があります。

アップデートする
開発者が提供する情報をもとに、ファームウェアを最新版へアップデートしてください。

ただし、Wi-Fi STATION SH-52AとSpeed Wi-Fi 5G X01については、サポートサービスが終了しておりアップデートの提供はありません。
開発者は、ワークアラウンドの適⽤を推奨しています。

詳細は、開発者が提供する情報を確認してください。