TP-Link Multiple Routers のOSコマンドインジェクションの脆弱性（CVE-2025-9377）

何が起きた

TP-Link のルーター Archer C7(EU) と TL-WR841N/ND(MS) の Parental Control（保護者による制限）の画面に、OS コマンドインジェクションの弱点が見つかりました。ログイン済みの攻撃者が、ルーターで任意の命令を実行できる可能性があります。NVD の評価では、ネットワーク経由で、管理者などの高い権限があれば、利用者の操作なしで悪用できるとされています。TP-Link によると、実際の攻撃では別の弱点 CVE-2023-50224 でログイン情報を盗んだうえで、この弱点が使われました。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Archer C7(EU) V2 と TL-WR841N/ND(MS) V9 で、241108 より前のファームウェアを使っている人が対象です。どちらの製品もすでにサポートが終わっています。TP-Link によると、この攻撃はリモート管理の機能をインターネットに向けて有効にしている場合だけ成り立ち、この設定は初期状態では有効になっていません。

何をすればいい

TP-Link は、サポートの終わった製品なので新しい機器への買い替えを勧めています。すぐに買い替えられない場合は、241108 のファームウェアに更新し、ルーターを再起動して、本体の管理画面が使える状態に戻す（restore）よう案内されています。また、リモート管理の機能は使わず、TP-Link の公式アプリ Tether で管理するよう勧めています。詳しくは公式の案内を確認してください。

やることチェックリスト

• サポートの終わったルーターを新しい機器に替える
• 替えるまでは 241108 のファームウェアに更新する
• リモート管理の機能を使わないようにする

用語メモ

OS コマンドインジェクション

攻撃者が用意した命令を、機器の OS に実行させてしまう攻撃です。

ファームウェア

ルーターなどの機器の中に入っていて、機器を動かしているプログラムです。

リモート管理

家の外などネットワークの外側から、機器の設定画面に入って管理できる機能です。