D-Linkルータのバッファオーバーフロー（CVE-2022-37055）― 記録は製品が寿命終了の可能性に触れ、利用者に使用の中止を求めている

1直すという選択肢が存在しない場合

脆弱性への対応は、更新を当てることが基本になる。ところがこの記録は、更新の提供そのものが終わっている可能性に触れている。寿命終了とは、製品の販売や開発が終わることであり、サポート終了とは、修正や問い合わせへの対応が終わることを指す。どちらであっても、新たに見つかった不具合に対する修正は出てこない。

この記録が利用者に使用の中止を求めているのは、他に取れる手が残っていないからである。

2家庭や小規模拠点に残り続ける機器

ルータは、いったん設置されると動いているあいだは触られにくい機器の代表である。パソコンやスマートフォンのように更新を促す画面が出るわけでもなく、何年も前の機種が現役で通信を支えている例は珍しくない。攻撃者から見れば、常時インターネットに面していて、修正が出ず、持ち主が更新を意識しない装置ということになる。

この記録が機密性・完全性・可用性のすべてに大きな影響があるとしているのは、ルータが通信の入り口そのものだからでもある。

3「使用を中止する」は4割の記録に付いている

2026年8月28日時点で当サイトが保持するKEVの記録1,685件のうち、要求される対応に使用中止の文言を含むものは702件、41.7%にのぼる。ただしその多くは、緩和策が得られない場合という条件付きの定型文である。この記録が異なるのは、脆弱性の説明そのもののなかで、利用者は使用を中止すべきだと述べている点だ。条件付きの選択肢としてではなく、想定される結論として書かれている。

なお、対象がどの機種にあたるのかはベンダーの告知に委ねられており、カタログの記録には含まれていない。

4直すか、やめるか

脆弱性への対応は、更新を当てることが基本です。ところがこの記録は、更新の提供そのものが終わっている可能性に触れています。そのとき残る選択肢は一つしかありません。

寿命終了とは製品の販売や開発が終わることであり、サポート終了とは修正や問い合わせへの対応が終わることを指します。どちらであっても、新たに見つかった不具合に対する修正は出てきません。ルータは、いったん設置されると動いているあいだは触られにくい機器の代表であり、攻撃者から見れば、常時インターネットに面していて、修正が出ず、持ち主が更新を意識しない装置ということになります。