ルーターのプロセス一覧に、角括弧の付かない「kworker」が2つ並んでいました。カーネルスレッドを装って、root権限で動く別の何かです。VulnCheckの検証機では、侵入された後に置かれたのではなく、出荷時のファームウェアに含まれていました。同じものが公開ファームウェアすべてに入っていたというのが、今回の調査結果です。
米セキュリティ企業VulnCheckは2026年8月5日、中国Zbtlink（深圳市智博通電子）製の無線ルーター20機種のファームウェアに、遠隔操作用のプログラムが出荷時点で組み込まれていたとする調査結果を公表した。同社CTOのジェイコブ・ベインズ氏が発見し、ENDLESSDOORSと命名、CVE-2026-66747として深刻度9.3と評価している。
プログラムはroot権限で常駐し、およそ35秒ごとに中国国内などのサーバーへ平文で接続を試みる。認証も暗号化もなく、接続先を握った者が任意のコマンドをroot権限で実行できる。ベインズ氏は世界で少なくとも10万台が稼働していると推計する。
Zbtlinkは8月6日、保守用のツールだと説明したうえで、対象機種の販売とファームウェア配布を停止した。
From: 
ENDLESSDOORS Is Phoning Home. Pick Up.
【編集部解説】
ルーターに遠隔保守の仕組みが入っていること自体は、実は珍しくありません。回線事業者が貸し出すホームゲートウェイの多くはTR-069という標準プロトコルを積んでいて、機器の側から管理サーバーへ定期的に接続し、設定変更や更新の指示を受け取ります。NAT配下でも管理セッションを確立しやすい、一般的な設計です。
ただし、TR-069であること自体が安全性を保証するわけではありません。認証方式、TLSの利用、証明書の検証、管理サーバー側の保護が適切に実装されて、はじめて成立する仕組みです。
ですから今回の焦点は、「保守用の遠隔操作機能があった」ことではありません。その機能が、どう実装されていたかです。
中身は、rctl（remote control linux）というオープンソースの遠隔操作ツールを改変したものでした。VulnCheckによれば、2015年1月14日にGitHubへアップロードされたきり、一度も更新されていないリポジトリです。これがOpenWrtのパッケージとしてファームウェアに組み込まれ、機器の起動と同時にroot権限で立ち上がり、C2サーバー（乗っ取った機器に命令を出す司令サーバー）への接続を試み続けます。
VulnCheckが問題視したのは、三つの特徴が同時に確認されたことです。第一に、通信に認証も暗号化もない。機器は39バイトの固定メッセージを送るだけで、相手が本物のZbtlinkのサーバーかどうかを確かめません。第二に、プロセス名が「kworker」になっている。これはLinuxカーネルのスレッド名で、通常はプロセス一覧に角括弧付きで並びます。角括弧のない「kworker」が2つ、rootで常駐していました。第三に、これが特定の一機種ではなく、ダウンロードページに並んでいた21のファームウェアイメージすべてに、数年分にわたって入っていた。
この三つが揃うと、話は「安全でない実装」を通り越します。認証がないということは、C2の宛先を支配した者や、DNS・経路を改変できる第三者も、この機器を掌握できるという意味です。VulnCheckは実際に、自社で買ったAX3000の外向き通信を横取りし、対話的なrootシェルを取得してみせました。受信ポートの開放も公開IPも必要ありません。C2への外向き通信が許可されている限り、NATや受信側ファイアウォールの内側からでも接続は成立します。
「直せない」のではなく、直す対象が違う
VulnCheckがこの件に付けたCWE分類は、CWE-506「Embedded Malicious Code（埋め込まれた悪意あるコード）」でした。バッファオーバーフローでも認証不備でもなく、製品に組み込まれ、起動時に実行されるコードそのものを問題とする分類です。ただし、この分類だけで開発者の悪意や技術的な修正不能が確定するわけではありません。あくまでVulnCheckの評価です。
同社が協調的開示——公表前にベンダーへ通知して修正期間を与える手続き——を行わなかったのは、この判断から導かれたものでした。ベンダー自身のinitスクリプトが起動している構成要素であり、調整すべきパッチが存在しない、という説明です。
この判断には議論の余地があります。FIRSTやCERT/CCの一般的な指針は、活発な悪用などの事情がない限り、ベンダーへの合理的な通知と猶予を推奨しています。意図的な実装であれば事前通知を省略してよい、という業界合意は確認できません。検知ルールの同時公開は防御側に即時の調査手段を与えましたが、ベンダーと利用者に準備期間を与えなかったことの不利益を打ち消すものではありません。
Zbtlink側は、これを「アフターサービスの技術サポートツール」であり「顧客の明示的な要請と許可があった場合にのみ使用する」と説明しました。The Registerには「一般にサンプル機にのみ残し、量産出荷には含めない」とも回答しています。公開されていた21のイメージすべてにコードが含まれ、購入したAX3000の実機でも動作したという事実と、この説明は整合しにくいものです。ただし、VulnCheckが物理的に検証した実機はAX3000であり、20機種すべての出荷実態を実機で確かめたわけではありません。
ロゴでは追えない
もう一つ、規制の設計そのものに関わる論点があります。
Zbtlinkは、OEM／ODM受託を公式サービスとして掲げています。同じ基板と同じファームウェアが、注文した会社のブランド名で出荷される。ベインズ氏の言い方を借りれば、「Wiflyer WG3526」はZBT刻印の双子と同一の機器です。だからVulnCheckは繰り返し、ケースのロゴではなく型番で照合せよと書いています。そのうえで、「実際に影響を受ける母集団は調査した20機種より広い可能性があるが、それを列挙する手段がない」とも明記しました。
ここは日本の読者にとって遠い話ではありません。Amazon.co.jpの検索結果には、Wiflyer名義のWE1326-KC、Z8102-M2-Sといった商品ページが確認できます。ただし本稿確認時点では、出品の継続状況も、確認済み20機種とのファームウェアの共通性も確認できませんでした。VulnCheckが「列挙する手段がない」と述べた領域が、そのまま日本の購入者の目の前にあることになります。
そして規制は、この母集団をきれいには覆いません。米FCCは2026年3月23日、外国で生産されたルーターをカバードリストに追加しました。これはブランド単位の指定ではなく、生産地というカテゴリによる指定です。対象になるのは新規の機器認証で、すでに認証を得たモデルや購入済みの機器に遡及するものではありません。すでに認証を取得した対象ルーターについては、脆弱性修正などのソフトウェア／ファームウェア更新を行えるよう、FCCが少なくとも2029年1月1日まで例外措置を設けています。
また、FCCが採用した「ルーター」の定義は、主として住宅での利用を想定した、利用者が自分で設置できる消費者向け機器です。判断の基準は実際の設置場所ではないため、Zbtlinkの20機種がすべてこの定義に入るかどうかは、公表資料だけでは一括して判断できません。制度が生産地カテゴリと新規認証を軸に動くのに対し、技術的なリスクは機種名、ファームウェア版、既設機器の状態を軸に存在している。このズレは、今回のような「工場出荷時から入っていた」型の事案では、そのまま防御の穴になります。
留保すべきこと
過度に読まないほうがよい点も、いくつかあります。
悪用の証拠は示されていません。ロイターは、このバックドアがなぜ存在するのか、どんな目的なのか、実際に悪用された事例があるのかを確認できなかったと報じています。C2インフラの運用主体も特定されていません。「中国政府による諜報の証拠」として扱うのは、現時点では飛躍です。
10万台という数字は推計です。VulnCheckの技術ブログにもアドバイザリにも、この数字は出てきません。ベインズ氏がロイターに語った「少なくとも10万台」という見積もりで、算出根拠は公表されておらず、同氏自身が米国内の台数は確かめる手段がないと述べています。
深刻度9.3はCNAによる自社評価です。VulnCheckはCNAとしてCVEを採番できる立場にあり、この9.3は同社が付けた値です。NIST独自の評価値ではありません。
そして、利用可能な修正版はまだ確認できません。Zbtlinkは更新版を開発・公開中としていますが、対象機種、版番号、配布先、公開時期はいずれも示されていません。VulnCheckは交換を第一に推奨し、最低限の代替策として、厳格な出口制御の後ろへ移してそのLANを信頼しないことを挙げています。これは技術的な対処というより、機器を信頼するかどうかの判断に属します。
いま手を動かせること
対象機種を持っている可能性がある場合、VulnCheckが挙げた確認手順は具体的です。SSHでログインして ps を実行し、角括弧のない「kworker」がメモリを消費した状態で2つ常駐していないか。ファイルシステムに /usr/sbin/kworker、/usr/lib/librctl.so、/etc/kworker.cfg、/etc/init.d/skworker がないか。出口制御とDNSリゾルバでは、VulnCheckが公開したドメインと関連IPアドレスを遮断し、遮断するだけでなくアラートを上げる。7000番と7001番の外向き通信を、とくにネットワーク機器のセグメントから監視する。
カナダのサイバーセキュリティセンターは、公表当日の8月5日に勧告AV26-779を発出しました。2026年8月7日時点で、日本の公的機関による本件を名指しした注意喚起は確認できていません。SIM内蔵の安価なCPEは、情報システム部門の資産台帳を経由せずに現場判断で導入されがちな機器です。誰がいつ入れたのか分からない箱が、車両や店舗や支店に残っていないか。棚卸しの起点は、そこになります。
Zbtlinkの配布ページから、該当ファームウェアへのリンクは消えました。同社は更新版を開発・公開中としていますが、対象機種も版番号も公開時期も、まだ示されていません。VulnCheckが確認した21のイメージは、いま公式には手に入りません。それでも、すでに設置された機器の中では動き続けています。交換が第一の対処だとして、車両や支店に置かれた、誰の管理下でもない箱の型番は、誰が照合するのでしょうか。
【関連記事】
【解説】米FCCが中国製ロボットを輸入禁止へ｜日本のGMO AIRも「他人事ではない」理由
カバードリストの二段階構造を解説した記事。家庭用ルーターへの措置にも触れている。
Unitree Go2、BLE経由でroot奪取の脆弱性 ジョーダン氏が中国サーバーへの通信を動画で指摘
中国製機器が中国のクラウドへ通信する構図を扱った並列事例。root奪取という点でも重なる。
中国国家安全部「国産技術を選べ」 デバイスバックドアとサプライチェーン攻撃に警鐘
「保守用の裏口」というバックドアの語義を提示した記事。今回とは裏返しの構図になる。
【編集部後記】
Zbtlinkが最初に掲示した短い告知にも、その後に公開した詳細な声明にも、「backdoor」という語と「ENDLESSDOORS」という名称は出てきません。最初の告知では「ファームウェアの脆弱性」、詳細声明では「リモート管理コンポーネント」「アフターサービスの技術サポートツール」と説明されています。
VulnCheckがバックドアと評価したのと同じコードを、Zbtlinkは保守機能として位置づけています。争われているのはコードの存在ではなく、その性格を何と呼ぶかです。
【用語解説】
ENDLESSDOORS
VulnCheckのゼロデイ研究チームが命名した、Zbtlink製ルーターに組み込まれていた遠隔操作用のプログラム。CVE-2026-66747として採番された。
rctl（remote control linux）
ENDLESSDOORSの原型となったオープンソースの遠隔操作ツール。VulnCheckによれば、2015年1月にGitHubへアップロードされたまま更新が止まっている。
kworker
Linuxカーネルが内部処理に使うスレッドの名前。プロセス一覧では角括弧付きで表示される。ENDLESSDOORSは角括弧の付かない同名のユーザー空間プロセスとして常駐し、この一覧に紛れる。
root権限
Linux系OSにおける最上位の管理者権限。この権限で任意のコマンドを実行できる状態は、機器を完全に掌握された状態と等しい。
CWE-506（Embedded Malicious Code）
弱点の類型を分類する体系CWEのうち、製品に埋め込まれた悪意あるコードを指す区分。実装上の不具合ではなく、組み込まれたコードそのものを対象とする。
C2サーバー
Command and Controlの略。乗っ取った機器に対して命令を送り、応答を受け取る司令サーバーを指す。
CPE
Customer Premises Equipmentの略。回線事業者側ではなく、利用者の建物や車両に設置される通信機器。SIMを挿して使うルーターなどが該当する。
NAT
Network Address Translationの略。宅内や社内の複数の機器が1つの外向きアドレスを共有する仕組み。外から中への接続は通りにくいが、内から外への接続は通常どおり通過する。
TR-069
回線事業者が貸し出すルーターなどの遠隔管理に広く使われる標準プロトコル。機器の側から管理サーバーへ接続する設計を採る。
協調的開示（coordinated disclosure）
脆弱性を発見した研究者が、公表前にベンダーへ通知して修正期間を設ける手続き。FIRSTやCERT/CCが一般的な指針を示している。
出口制御（egress control）
社内から社外へ向かう通信を、宛先や宛先ポート単位で制限する運用。今回のように機器が自分から外へ接続する型の実装に対しては、主要な防御線になる。
OEM／ODM
OEMは他社ブランドでの受託製造、ODMは設計から請け負う受託。中身が同一のまま、外装のブランド名だけが変わって流通する。
カバードリスト（Covered List）
米FCCが管理する、国家安全保障上の受け入れがたいリスクがあると判断された通信機器・サービスの一覧。掲載された機器は新規の機器認証を受けられない。
【参考リンク】
VulnCheck（外部）
米マサチューセッツ州の脆弱性インテリジェンス企業。ENDLESSDOORSを発見し、検知ルールとIoCを公開している。
ENDLESSDOORS Advisory（VulnCheck）（外部）
CVE-2026-66747のアドバイザリ。CWE-506として分類した根拠と、深刻度9.3を導いたCVSSベクターが確認できる。
Official Statement from Shenzhen Zbt Electronics（Zbtlink）（外部）
Zbtlinkの公式声明。VulnCheckの報告を認識していること、対象機種の販売停止、更新版の開発を記している。
ycsunjane/rctl（GitHub）（外部）
ENDLESSDOORSの原型となったオープンソースの遠隔操作ツール。2015年の公開以降、更新が止まっている。
Covered List（FCC）（外部）
FCCが公開するカバードリスト。外国で生産されたルーターと、例外承認を得た機器の扱いが掲載されている。
DA 26-454（FCC OET）（外部）
既認証の対象ルーターへのファームウェア更新を、少なくとも2029年1月1日まで認める例外措置の公示。
Zbtlink security advisory AV26-779（Canadian Centre for Cyber Security）（外部）
カナダ サイバーセキュリティセンターが8月5日に発出した勧告。影響を受ける製品の型番を列挙している。
Linux.MulDrop.143（Dr.Web）（外部）
rctl由来のバイナリがLinux.BackDoor.RCTL.2として検出された事例。上流プロジェクト自体の認定ではない。
【参考記事】
Chinese router vendor denies its firmware contains backdoors – but pauses downloads to fix security issues anyway（外部）
Zbtlinkがバックドアを否定しつつファームウェア配布を停止した経緯と、同社広報の回答を詳しく伝える。
China’s Zbtlink suspends sales of routers found to contain backdoor（外部）
Zbtlinkが販売停止を表明した8月6日の続報。同社の説明と、それに対するベインズ氏の再反論を収録する。
Chinese-Made Zbtlink Routers Ship With Backdoor That Opens Unauthenticated Root Shells（外部）
21のファームウェアイメージすべてに実装が含まれていた点と、C2エンドポイントの一覧を整理する。
VulnCheck Warns That Chinese Zbtlink Routers Include a Backdoor（外部）
10万台という推計と深刻度9.3の位置づけ、パッチではなく機器の交換が推奨される理由を解説する。
Chinese-made Zbtlink routers have a backdoor, researchers say（外部）
FCCによる外国製ルーターの規制やテキサス州のTP-Link提訴など、規制側の流れを整理している。
