こんにちは、株式会社TIMEWELLの濱本です。
ネットワーク機器の調達を「価格と仕様表」で決めている会社は、まだ多いと思います。ルーターは電源を入れれば動くし、動いてしまえば誰も中身を見ない。そういう機器です。
2026年8月5日、米セキュリティ企業VulnCheckが公開した調査が、その前提に水を差しました1。中国・深圳のネットワーク機器メーカー Zbtlink（Shenzhen Zhibotong Electronics）のルーター20機種で、出荷時のファームウェアに、起動と同時に外部へ接続して認証なしでroot権限のコマンドを受け付ける実装が見つかった、という内容です。同社はこれを「アフターサービス用の保守機能」だと説明しています2。
この一件を「中国製だから危ない」という粗い話に落とすと、たぶん何も学べません。もっと使える教訓は別のところにあります。正規の保守機能とバックドア相当を分けるものは何か、そして自社が何を内側に入れているかを、そもそも把握できているか。この2点として整理してみます。自社の取引先や調達先の確認体制がどこまで組めているか気になる方は、無料の輸出管理・経済安保セルフチェックで棚卸しの起点を作れます。
何が見つかったのか——CVE-2026-66747
VulnCheckのJacob Baines氏が名付けた実装の名称は ENDLESSDOORS。CVE-2026-66747として登録され、CVSSスコアは9.3（Critical）です3。
正体は素朴でした。rctl（remote control linux）という小さなツールで、2015年1月14日にGitHubへアップロードされて以降、一度も更新されていない無名のリポジトリが元になっています1。単純なC2（Command and Control、遠隔からの指令と制御）のクライアントとサーバーを実装したものです。
Zbtlink機で確認された挙動を整理します。
| 挙動 | 内容 |
|---|---|
| 自動起動 | OpenWrtのパッケージ（librctl.so）として組み込まれ、起動時にroot権限で自動実行される |
| 偽装 | プロセス名は kworker。Linuxカーネルスレッドを思わせる名前だが、実体はrootで動くユーザーランドプロセス |
| 常時ビーコン | 待ち受けポートは開かず、内側から外部のC2サーバーへ平文TCPで接続。最短35秒間隔で再試行する |
| 認証なし | 受け取った文字列をそのまま popen() に渡し、uid=0 で実行する |
| rootシェル | rctlbash という予約文字列を受信すると7001番ポートに第二の接続を張り、擬似端末を割り当てて /bin/sh を起動。対話型のrootシェルが開通する |
指令チャネルが7000番、対話シェルのコールバックが7001番という構成です3。Baines氏はこのプロトコルの語彙を、「rootで実行しろ」と「rootシェルをよこせ」の2語しかない、と表現しています。
影響範囲について、正確に書いておきます。VulnCheckがZbtlinkの公開ダウンロードページから取得した21のファームウェアイメージすべてに、この実装が含まれていました1。対象は20機種、ファームウェアのバージョンでは v7.6.7.2 から v23.10.11 にまたがります3。
ここで注意していただきたいのは、稼働台数の推定値は出ていないことです。一部の報道では「10万台以上」という数字が流通していますが、VulnCheck自身は「実際の影響範囲は我々が調べた20機種より大きい可能性があるが、それ以上を数え上げる手段がない」と述べるにとどめており、設置台数の推定を示していません1。取材した報道機関も、稼働台数の数字は出していません2。社内で説明する際は、この線を守ったほうがいいと思います。数字を盛ると、後で全体の信頼が落ちます。
なお、VulnCheckは今回、協調的開示の枠組みを取っていません。理由も明快で、これはメモリ破壊のようなバグではなく、メーカー自身の初期化スクリプトが起動する製品の構成要素だから、という判断です1。
「保守機能」という説明と、公開情報の食い違い
Zbtlinkは報道機関の取材に、こう回答しています。
この機能はアフターサービス用の保守を唯一の目的としており、他の用途はない。通常はソフトウェアのデバッグを支援するためサンプル機にのみ残されるもので、量産出荷品には含まれない2。
正当な保守目的だという説明です。ただ、この説明と公開されている事実の間には、埋まっていない差があります。
ひとつは対象範囲です。「サンプル機にのみ残される」という説明に対し、VulnCheckが確認したのは同社の一般公開ダウンロードページに置かれていた21イメージすべてでした1。サンプル機に配る特別なビルドではなく、誰でも取得できる配布物に入っていたことになります。
もうひとつは同社自身のその後の行動です。報道と前後して、Zbtlinkはファームウェアの公開を一時停止し、ダウンロードページに「ファームウェアの脆弱性を検出した」「影響を受けるバージョンを予防措置として一時的に取り下げた」「技術チームが修正版の開発と検証を進めている」旨を掲示しました2。正当な保守機能であるという説明と、修正対象の脆弱性として扱う対応は、そのままでは噛み合いません。何をどう修正するのかは、現時点で公開されていないようです。
私は、ここでメーカーの意図を推測することにあまり意味はないと考えています。悪意があったのか、設計判断の甘さだったのか、社内で誰も棚卸ししていなかっただけなのか。外からは分かりませんし、分からないままでも結論は変わらない。問題は名称や目的ではなく、実装だからです。
ベンダーが遠隔から機器を保守すること自体は、まったく正当な業務です。企業向けネットワーク機器では、むしろ必須の機能でしょう。では正当な保守機能と「バックドア相当」を分けるものは何か。一般には、次の要素が揃っていることが求められます。利用者による明示的な有効化（既定はオフ）、機器とサーバーの相互認証、通信の暗号化、保守に必要な最小限に絞った権限、実行できる操作の許可リスト、誰が何をしたかを後から追える監査ログ、保守が終わったら機能を落とす仕組み、そして接続先を明示して管理下に置くこと。8つあります。
ENDLESSDOORSには、このうちひとつも備わっていません。利用者に開示されず、認証を経ずに、外部からroot権限を取得でき、実行できるコマンドに制限がない。意図がどうであれ、セキュリティ上はバックドア相当と評価せざるを得ない、というのが技術的な結論です。
さらに厄介なのは、通信に認証も暗号化もないということが、攻撃者はZbtlinkである必要すらないを意味する点です。Baines氏も「通信経路上にいる者なら誰でもクライアントとサーバーの通信を乗っ取れる」と書いています1。経路上で通信を奪うか、C2サーバー側を押さえるかできれば、第三者が認証なしでコマンドを送り込める。ルーターを取られるということは、その配下のネットワーク全体に足場を得られるということです。しかも内側から外へ接続する設計なので、「ファイアウォールを3層越しに置いた機器も、グローバルIPを持つ機器とまったく同じだけ到達可能だ」1。境界防御では止まりません。
該非判定の属人化を、AIで解消する。
経産省2024年度データによれば、外為法違反の52%は該非判定起因。TRAFEEDの機能・導入フローをまとめたサービスカタログを無料でダウンロードできます。
立証されていないことに、線を引く
ここで意図的に線を引きます。以下は現時点で立証されていません。
- 中国政府の関与
- 実際に悪用された事実（検証はVulnCheckの実験環境で行われたものです）
- 他社製品にも同様の実装が存在すること
VulnCheck自身、政府の関与について何ら主張していません1。取材した報道機関の記事にも、その種の言及はありません2。ここを断定的に語ることは、議論の質を下げます。過度な断定は「またその手の話か」という耐性を生んで、必要な対策のほうが実行されなくなる。実務的にも損です。
ただし、立証されていないことと、リスクが小さいことは別の話です。「認証なしで外部からroot権限を取得できる仕組みが、利用者に開示されないまま量産ファームウェアに入って出荷されていた」という事実だけで、確認と対応の必要性は十分に成立します。誰が仕込んだのかを待つ必要はありません。
ブランド名では、実際の製造元は分からない
この件が一メーカーの不祥事に留まらないのは、OEM・ODMという流通構造があるからです。
Zbtlinkは自社サイトでOEM・ODM供給を広く行っていることを明示しています。VulnCheckの表現を借りれば、「同社は同じハードウェアと同じファームウェアを、自社名を載せたい相手のために作り、ブランドを付け替える。Wiflyer WG3526 は、ZBTラベルの双子と同じ影響下の機器だ」1。同じ基板、同じファームウェアが、別の社名とロゴをまとって市場に出ている。だからVulnCheckは、ブランドではなく型番で在庫を確認せよと勧告しています。
供給先企業名の一覧は公開されていません。つまり「このブランドの製品がZbtlink製である」と断定できる公開情報は、極めて限定的です。裏を返せば、ホワイトラベルで別ブランドとして流通している製品が存在する可能性を、否定できないということでもあります。
ブランド名の先を辿るには、次の要素を突合していきます。
| # | 確認要素 | 何が分かるか |
|---|---|---|
| 1 | 製品型番 | 共通設計や同一プラットフォームの特定 |
| 2 | FCC ID・技適番号 | 認証情報から実際の申請者と製造元を確認 |
| 3 | 基板型番 | 基板のシルク印刷や設計情報 |
| 4 | MACアドレス（OUI） | OUIから製造元を特定する手がかり |
| 5 | ファームウェアのハッシュ | 他機種との共通性を確認 |
| 6 | ファームウェア開発元 | 開発元・ビルド情報・署名情報 |
| 7 | 外部通信先 | 通信先ドメインやIPと、遠隔制御の有無 |
| 8 | 遠隔保守機能 | TR-069や独自機能など、遠隔管理の仕組み |
| 9 | 輸入事業者 | 国内の輸入者・販売事業者 |
| 10 | OEM/ODM供給関係 | 実際の供給関係と契約形態 |
日本国内であれば、技適データベースの検索から入り、技適・FCC・CE・ISEDの認証情報を突合し、ファームウェアのハッシュやビルド情報、外部通信先を分析して、輸入事業者や販売店をたどる。この順で追うのが現実的です。
優先的に調べるべき領域も、わりとはっきりしています。政府機関、自治体や教育委員会、重要インフラ（電力・ガス・水道・交通・金融）、公共Wi-Fi、そしてテレワーク環境。最後のテレワークは、情報システム部門の管理がいちばん及びにくく、それでいて社内ネットワークへのVPN接続点になっている。私の経験でも、ここは見落とされやすい領域です。
組織が取るべき対応
短期でやることは、それほど多くありません。
まず該当製品の確認です。型番とファームウェアの棚卸しを行い、ブランドロゴではなく型番で照合します。次にネットワークからの隔離、あるいは交換の検討。これは設計上意図的に組み込まれたものであって、パッチで解決する種類の問題ではありません。VulnCheckの勧告も、可能な限り交換せよ、と明快です。
3つめがログの遡及調査。DNS、NetFlow、プロキシ、ファイアウォールのログを過去分まで確認します。35秒間隔のビーコンは、探せば必ず痕跡が残ります。4つめは外向き通信の制御強化です。今回の通信は内向きではなく外向きから始まるので、ファイアウォールのインバウンド制御だけでは検知できません。
そして5つめが、購入元・製造元・更新体制・SBOM（ソフトウェア部品表）を含めた、継続的な信頼性評価の仕組みづくりです。ここだけは短期で終わりません。取引先が誰の資本下にあり、どこの製造で、どこへ通信するのか。この確認を担当者の手作業で回している限り、機器が増えるたびに抜けが出ます。私たちが提供しているTRAFEEDは、取引先スクリーニングと該非判定を一つの流れで支援する輸出管理AIエージェントで、経済産業省の基準に準拠しています。岡山大学との共同実証では約3万件の過去審査データを用いてAI判定精度95%以上を確認しました。最終的な判断は貴社の責任者が行うものですが、そこに至るまでの調査と一次スクリーニングの負荷は大きく下げられます。
これは「脆弱性対応」ではなく「調達」の問題
最後に、本質を一つ。
この件を「また新しい脆弱性が見つかった」という枠で処理すると、対応を誤ります。脆弱性はバグであり、パッチで直る。しかし今回問題になっているのは、製品の設計そのものと、それを開示しなかったベンダーの姿勢です。修正版ファームウェアが出たとして、そのベンダーを信頼して同じ機器を使い続けるという判断が成り立つのか。それは技術の問題ではなく、調達の問題でしょう。
ネットワーク機器は、そこを通る全通信の観測点であり、社内ネットワークへの入口です。どこまで信頼できるかという問いに、価格や機能表では答えられません。信頼は価格ではなく、設計と透明性で判断するものだと思います。
ブランド名ではなく、誰が作り、誰がコードを書き、どこへ通信するのか。そこまで遡って確認することが、通信機器の調達における新しい常識になりつつあります。そしてこの考え方は、ルーターに限りません。半導体、産業機器、クラウドサービス、AIモデル。サプライチェーンの深部に開示されない挙動が埋め込まれうるという前提は、あらゆる調達領域に共通します。
経済安全保障の議論は、しばしば「輸出をどう管理するか」に偏りがちです。今回の一件が示しているのは、何を自組織の内側に入れるかという調達側の判断も、同じくらい重い意味を持つということではないでしょうか。2026年1月に経済産業省が公表した経済安全保障経営ガイドラインも、自社のバリューチェーンを正確に把握することを最初の原則に置いています。制度の側から入りたい方は、データセンター・クラウド・IoT機器の経済安全保障もあわせてどうぞ。
まとめ
要点を整理します。
- VulnCheckが2026年8月5日、Zbtlink製ルーター20機種のファームウェアに、起動時にroot権限で自動実行され外部C2へ平文接続し、認証なしでコマンドを実行する実装を確認しました。CVE-2026-66747、CVSS 9.3です
- 同社は「アフターサービス用の保守機能でサンプル機にのみ残る」と説明していますが、公開ダウンロードページの21イメージすべてに含まれていた点、および同社がファームウェア公開を停止し修正版を開発中と掲示した点とは、そのままでは噛み合いません
- 稼働台数の推定は出ていません。「10万台」はVulnCheckの推定ではないため、社内説明で使わないほうが安全です
- 中国政府の関与も、実際の悪用も、立証されていません。ただし開示なく認証なしでrootを渡す実装が量産出荷されていた事実だけで、対応の必要性は成立します
- 確認はブランド名ではなく型番で。OEM・ODMにより、同じ基板と同じファームウェアが別ブランドで流通している可能性があります
正直なところ、この記事を書きながら私がいちばん気になったのは、Zbtlinkという固有名詞のほうではありません。自社のオフィスや在宅勤務者の手元に、どのメーカーの、どの型番の機器が何台あるかを即答できる組織が、どれだけあるだろうかということです。今回は特定のメーカーの名前がついたので騒ぎになりましたが、名前がつく前の状態は、たいていの会社で同じではないでしょうか。
まずは型番の棚卸しから始めてみてください。調達先の評価まで含めて体制を組み直したい場合は、TRAFEEDの個別相談からお声がけください。
参考文献
本稿は2026年8月7日時点の公開情報にもとづきます。調査は進行中で、事実関係は更新される可能性があります。
Footnotes
-
VulnCheck, Jacob Baines「ENDLESSDOORS Is Phoning Home. Pick Up.」（2026年8月5日） https://www.vulncheck.com/blog/zbt-endlessdoors ↩ ↩2 ↩3 ↩4 ↩5 ↩6 ↩7 ↩8 ↩9 ↩10
-
The Register, Simon Sharwood「Chinese router vendor denies its firmware contains backdoors – but pauses downloads to fix security issues anyway」（2026年8月6日） https://www.theregister.com/security/2026/08/06/chinese-router-vendor-denies-its-firmware-contains-backdoors-but-pauses-downloads-to-fix-security-issues-anyway/ ↩ ↩2 ↩3 ↩4 ↩5
-
VulnCheck Advisory「ENDLESSDOORS: Zbtlink Router rctl/kworker Phone-Home Root Implant」（CVE-2026-66747、CVSS 9.3、2026年8月5日） https://www.vulncheck.com/advisories/zbt-endlessdoors ↩ ↩2 ↩3
