古いルーターはなぜ危険？16年放置の欠陥WPSplinterと対策

古いルーター問題とは？16年放置の欠陥「WPSplinter」で分かったこと

Wi-Fiルーターは、パソコンやスマホと同じように中で小さなコンピューターが動いています。そのソフトの多くは、ルーターを作る会社が一から作るのではなく、心臓部の半導体を売る会社（今回はBroadcom）が配る部品を組み込んで作られます。今回の欠陥は、その部品の中に16年間残っていました。

出典：Quentin Kaiser氏のブログ（10月16日、20日追記）、一般向け解説ページ「WPSplinter」、The Register（10月19日）。この記事では攻撃の手順には触れません。

WPSとは？ボタンひとつでつながる便利機能が入り口に

WPS（Wi-Fi Protected Setup）は、ルーターのボタンを押すだけで、長いパスワードを打たずにゲーム機やプリンターをWi-Fiにつなげる仕組みです。今回の欠陥は、このWPSの通信を受け取って組み立て直す処理にありました。決められた大きさを超えるデータが届いても止められず、メモリーがあふれるという、古典的なタイプの欠陥です。

やっかいなのは、この処理が「パスワードを確認する前」に動くことです。普段は「Wi-Fiのパスワードを強くしておけば大丈夫」と考えがちですが、今回はパスワードの強さが関係ありません。

なぜ16年も放置されたのか

研究者によると、Broadcomは2018年にこの問題を把握し、不完全な修正をこっそり出したうえで、問題の部品ごと別の部品（オープンソースのhostapd）に置き換えた新しい版を用意しました。ところが、公に知らせなかったため、多くの機器メーカーは修正を取り込まないまま売り続けたとみられます。

研究者が7月に報告すると、Broadcomは「修正はある。対象の機器を見つけたらメーカーに連絡を」と答え、CVE番号の登録を断りました。一般向けの解説ページによると、Broadcomは「対象のソフトは古く、サポート期間の外」だと説明しています。研究者は、この姿勢こそ多くのメーカーが修正しなかった理由だろうと指摘しています。

AIで「数か月の調査が1週間」に

研究者は、最先端のAIを使ったことで本来なら数か月かかる調査を1週間足らずで終えたとも明かしています。守る側にとっては奥深くの欠陥を安く探せる一方、攻める側も同じ道具を使えます。古い機器に眠る欠陥が見つかるペースは、これから上がっていくと考えたほうがよさそうです。

いつ何が起きた？2010年から2026年10月までの流れ

1. 2010年ごろBroadcomのソフトに欠陥が入り込むWPSの処理を受け持つ古い部品に、データのあふれを止められない欠陥。
2. 2018年Broadcomが不完全な修正をこっそり公開あわせて問題の部品をhostapdに置き換えた新版を用意。ただし公表はせず。
3. 2026年7月18日・27日研究者がBroadcomに2件を報告古い基盤（eCos）向けと、Linux向けの2系統。
4. 7月28〜29日BroadcomがCVE登録を拒否「修正はある。メーカーに直接連絡を」と回答。同じ日、研究者はベルギーの通信会社と国のサイバーセキュリティ機関にも報告。
5. 8月4日米CERT/CCでの調整も同日に打ち切りBroadcomがCVEを発行できる立場（CNA）で、登録を望まなかったため。
6. 10月15日確認した機種はどれも未修正報告から90日。研究者は事前に伝えた期限どおり公開へ。
7. 10月16日パリの会議で発表・ブログ公開影響機種リストと、機器が該当するかを調べる道具も公開。
8. 10月19〜21日欧米・日本で報道が広がる英The Registerなどが報じ、日本ではGIGAZINEなどが紹介。
9. 10月20日ベルギーの通信会社が対応最大手Proximusは配っている機器のWPSを24時間で一斉に停止し、数週間で修正を配ると研究者に連絡。Telenetは「該当なし」と確認。Orange Belgiumは検討中。

出典：Quentin Kaiser氏のブログの公開スケジュール（Disclosure Timeline）と10月20日の追記、一般向け解説ページ

どの機種が対象？公開リストの69機種を数えた【独自集計】

研究者はGitHubに影響を受ける機器のリストを公開しています。リストには「すべてではない。数千の機種が対象になると見ている」と明記されていますが、10月22日朝時点で載っている機器をメーカー別に数えました（ノキアの1行は7機種として数えています）。

出典：qkaiser/broadcom-wps（GitHub）のAffected Devices表を当サイトが集計（2026年10月22日朝に取得）。「確認済み」と「可能性が高い」の両方を含みます。同じ型番でも版や地域によって中身が違う場合があります。

目立つのは、通信会社が契約者に貸し出したり配ったりしたルーターが74%を占めることです。こうした機器は利用者が自分でファームウェアを入れ替えにくく、通信会社が動かない限り直りません。研究者がベルギーで試算した数字は次のとおりで、同国だけで約156万台になります。

出典：Quentin Kaiser氏のブログ「Guesstimation」。Telenetは10月20日に「該当なし」と確認されました。

日本で売られた機種は？TP-Link「Archer C5400」「C3150」

リストの大半は欧州・豪州・トルコなどの通信会社向けですが、TP-Linkの「Archer C5400」と「Archer C3150」は日本向けモデル（JP版）も販売されていました。TP-Link日本の公式サイトでは、どちらも「生産終了」の製品一覧（2026年4月時点）に入っています。

リストでの扱いは「全バージョン」「トルコの通信会社が配布」。日本版のファームウェアで実際に確かめられたわけではありません。TP-Linkは生産終了後もすぐにはサポートを止めないとしていますが、10月22日朝時点で今回の件についての日本向けの告知は見当たりませんでした。

バッファロー、NECプラットフォームズ（Aterm）、アイ・オー・データ、エレコムといった国内メーカーの機種は、10月22日朝時点のリストには載っていません。ただし、研究者は「載っていなくても安全とは限らない」と強調しています。Broadcom製の半導体を使っていても、問題の古い部品を使っていなければ対象外で、半導体が同じというだけでは判断できない点にも注意が必要です。

古いルーターはなぜ危険？サポート切れの実態【バッファロー480型番を集計】

今回の欠陥が示したのは、見つかった欠陥を直すファームウェアが届くかどうかが、ルーターの安全を左右するということです。メーカーのサポートが終わった機種には、新しい欠陥が見つかっても修正版は出ません。国内の主なメーカーのサポート期間は次のとおりです。

いずれも「発売から」ではなく「製造・販売が終わってから」数えます。人気機種ほど長く売られるので、買った時期だけでは判断できません。

バッファローのWi-Fiルーター、58%がサポート終了済み

バッファローは、全商品のサポート状況を1本のPDFで公開しています（2026年6月26日現在）。このうち家庭向けWi-Fiルーターのシリーズ（WSR・WXR・WZR・WHRなど9系統）を抜き出すと480型番。2026年10月を基準に数えると、279型番（58.1%）がすでにサポート終了、141型番が終了日が決まっている、60型番がサポート継続中でした。

バッファロー「商品サポート状況一覧」（2026年6月26日現在）から当サイトが集計。色違いや販売店向けモデルも1型番として数えています。2026年7〜10月に終了予定だった型番は「終了済み」に含めました。

製造終了日とサポート終了日の両方が書かれた416型番は、すべて製造終了からちょうど5年（60か月）でサポートが終わっていました。公式の方針どおり、機械的に区切られていることが分かります。

Wi-Fi 6のルーターも2026年に続々終了

「古い」というと10年前の機種を思い浮かべがちですが、そうとは限りません。直近1年（2025年11月〜2026年10月）にサポートが終わった19型番のうち、15型番はWi-Fi 6（型番に「AX」が入る機種）でした。たとえば人気の「WSR-1800AX4」シリーズは2025年12月〜2026年7月に、「WSR-5400AX6」シリーズは2026年7月に、上位機の「WXR-5950AX12」は2026年1月にサポートが終わっています。さらに今後1年以内に13型番が終了を迎えます。

出典：バッファロー「商品サポート状況一覧」。WSR-1166DHP4-BKは製造終了日の記載なし。

国の観測でも「乗っ取られやすい機器」が毎月見つかる

総務省と情報通信研究機構（NICT）、プロバイダーなどが進める「NOTICE」は、ネットにつながった家庭の機器を調べて利用者に注意を呼びかけています。2026年8月時点の観測状況は次のとおりです。

• 月1.18億件：参加プロバイダーのIPアドレスに対して観測した総数
• 月13,708件：推測しやすいIDやパスワードのままで、乗っ取られるおそれがある機器
• 月2,151件：ファームウェアに危険度の高い脆弱性が残る機器
• 1日最大299件：ウイルス「Mirai」にすでに感染しているとみられる機器

乗っ取られたルーターは、持ち主が気づかないまま他人の通信の「中継役」にされることがあります。警視庁は2026年9月24日に更新したページで、家庭の機器が第三者の通信を中継させられる「レジデンシャルプロキシ」に注意を呼びかけています。犯罪者は身元を隠してサイバー攻撃ができ、記録にはあなたの家の回線が残ってしまいます。

自分のルーターは大丈夫？確認と対策の手順

難しい操作は要りません。上から順に確かめていきましょう。

• 1. 型番を確かめる：ルーターの底や背面のラベルに「WSR-1800AX4」「WG1200HS4」のような型番が書いてあります。プロバイダーやケーブルテレビ会社から借りている機器かどうかも確認します。
• 2. メーカーのサポート状況を調べる：上の表の確認先で型番を検索します。「サポート終了」なら、修正版はもう出ません。買い替えを検討しましょう。
• 3. 借りている機器なら契約先に問い合わせる：レンタル機器はメーカーではなく契約先が窓口です。NECプラットフォームズもレンタル品は契約元に問い合わせるよう案内しています。ベルギーの例のように、通信会社がまとめて対応することもあります。
• 4. ファームウェアを最新にし、自動更新をオンに：管理画面で更新を確認し、自動更新がある機種は必ず有効にします。
• 5. 管理画面の見覚えのない設定を確認する：警視庁は、身に覚えのない「VPN機能」「DDNS機能」「外部から管理画面に入れる設定」が有効になっていないか、定期的に見るよう求めています。不審な設定があれば、初期化→ファームウェア更新→パスワード変更の順で直します。
• 6. 使っていない機能は切る：WPSを使っていないならオフにしておくのは無難です。ただし今回の欠陥では、それだけで安全になるとは言えません。

買い替えるなら、ここを見る

• WPA3に対応しているか：警視庁は暗号化方式を「WPA3」に設定するよう勧めています。
• ファームウェアの自動更新があるか：更新を忘れても最新の状態が保たれます。
• 発売から日が浅いか：サポートは製造・販売が終わってから3〜5年。長く売られている型落ち品を安く買うと、その分サポートの残りが短くなります。
• 古いルーターは中継器などに転用しない：サポートが切れた機器は、つないでいる限り同じリスクを抱えます。

バッファローの現行Wi-Fi 7ルーター（サポート継続中）

買い替え先の例として、バッファローの公式一覧（2026年6月26日現在）で「サポート継続中」となっているWi-Fi 7（11be）対応の現行機を3つ挙げます。上から、一般的な家庭向けのスタンダード機、有線2.5Gbpsに対応した上位機、10Gbpsの光回線向けのトライバンド機です。どれもWPA3に対応しています。

価格や在庫は販売サイトでご確認ください。サポート状況はバッファロー「商品サポート状況一覧」で型番ごとに確認できます。

最近はサーバーやソフトの脆弱性のニュースも続いています。Webサイトを動かすPHPの件はPHPの重大な脆弱性php2shellとは？で解説しています。

古いルーターの危険性のよくある質問

あわせて読みたい

出典・参考資料

• Quentin Kaiser：One Parser, Two Bugs, Many Routers（2026年10月16日、20日追記）、WPSplinter（一般向け解説）、Broadcom 802.11 SDK Detection Toolkit（GitHub）
• TP-Link日本：Archer C5400 ダウンロード、Archer C3150 ダウンロード、製品の保証と交換に関して
• バッファロー：サポート期間のご案内、商品サポート状況一覧（2026年6月26日現在）
• NECプラットフォームズ：Aterm製品のサポート期間変更に関する重要なお知らせ、Atermのサポート期間について
• アイ・オー・データ：修理・サポート終了品検索／エレコム：ネットワーク製品・NAS製品のサポート期間について
• NOTICE「最近の観測状況」（2026年8月時点）
• 警視庁：家庭用ルーターの不正利用に関する注意喚起について、Wi-Fi（無線LAN）ルーターをお使いの方へ、家庭用IoT機器を悪用するレジデンシャルプロキシ
• 報道：The Register（2026年10月19日）、INTERNET Watch（2025年11月11日）

影響機種の数、バッファローのサポート終了の割合は、各資料をもとに当サイトが集計したものです。内容は2026年10月22日朝時点の情報です。アイキャッチ画像はChatGPTで生成したイメージで、実在の機種ではありません。