バッファローの9月28日脆弱性告知。WSR-300HPとWEX-G300で確認すること

結論：WSR-300HPまたはWEX-G300を使っているなら、買い替えを考える前に、型番とファームウェアの更新状態を確認してください。 パソコンの更新だけでなく、Wi-Fiをつなぐ機器にも確認が必要です。

起点は、バッファローが2026年9月28日に公開した公式の脆弱性告知です。この記事は10月21日に内容を確認した対策ガイドで、今日発生した事件の速報ではありません。また、脆弱性の公表と、実際に情報が漏れたという報告は別です。この告知を根拠に、自宅の情報流出や特定企業の漏洩原因を断定しません。

最初に見るのは、メーカー名ではなく型番

対象は、Wi-FiルーターのWSR-300HPと中継機のWEX-G300です。対策版の基準は、それぞれVer.2.55以降、Ver.1.71以降。似た名前の商品や別の中継機に、そのまま同じファイルを使うことはできません。

まず本体のラベルから型番を確認します。親機だけ見て終わらず、廊下や別室の中継機も対象に入れましょう。家族が購入した機器なら、外観やWi-Fiの接続先名から推測せず、実物と説明書を照合するのが確実です。

この記事の対象外だった場合も「すべての問題について安全」と確認できたわけではありません。今回の告知への該当確認と、その製品全体の安全性の評価は分けて考えます。

自動更新の初期設定と、現在の状態は別

メーカーの告知では両機種の自動更新は初期設定で有効とされています。ただし、以前に設定を変更したか分からない家庭では、「買ったままだから大丈夫」と判断するより、管理画面で現在の版を確認した方が状況を整理できます。

WSR-300HPの公式配布ページには、確認時点でVer.2.55が掲載されています。自動更新機能には更新方法を選ぶ設定があることも説明されています。単に機能が存在することと、自分の機器で必要な更新が済んでいることは同じではありません。

確認する項目は三つです。

• 本体の型番が、告知にある型番と一致するか。
• 管理画面のファームウェア番号が、対策版の条件を満たすか。
• 更新の設定と結果を、説明書の手順で確認できるか。

管理画面への入り方が分からない場合は、その機種の公式説明書へ戻ります。検索広告や突然表示された「修復が必要」という画面を入口に、見知らぬツールを入れる必要はありません。管理パスワードを第三者に送って確認してもらう方法も避けます。

インターネット側の設定条件を読み飛ばさない

告知は、認証済みユーザーによる細工された入力で任意のOSコマンドを実行される可能性と、細工された入力でサービス運用妨害に至る可能性を説明しています。さらに、Internet側のリモートアクセスを許可する設定が有効な場合には、インターネット側から攻撃される可能性があるとしています。

ここから「同じメーカーの全機種が、初期状態で外部から攻撃される」と広げてはいけません。一方、設定を確認せずに「家の中でしか使っていないから無関係」と決めるのも早計です。今回の対策版の確認を先に行い、設定の用途が不明ならメーカーや設置を担当した人に相談してください。

更新は、家族の通信予定と合わせる

WEX-G300の公式配布ページでは、確認時点の版はVer.1.71です。公式説明には、ファームウェアの自動更新中はインターネットに接続できなくなること、従量制契約では通信量や費用に注意が必要なことも記載されています。

そのため、オンライン会議の直前に思いつきで始めるより、通信を一時的に使えなくても困らない時間を選ぶのが実用的です。更新手順は配布ページと付属説明を読み、操作中はその指示に従います。本記事では更新に必要な時間や、設定が必ず保持されることまでは保証していません。

家庭ではパソコンとスマホ以外も確認対象です。プリンター、テレビ、ネット接続する家電など、普段使う機器の一覧を先に作っておくと、更新後の確認漏れを減らせます。これはそれらの機器にも今回の脆弱性があるという意味ではなく、家庭内の通信を元の状態に戻せたか確かめるためです。

今日の着地点は「買った」より「確認できた」

作業後は、確認日、型番、更新後の版、普段使う機器の接続結果だけを簡単に残します。接続できない機器が出た場合は、すぐに初期化を繰り返すのではなく、どの機器が、どの段階でつながらないのかを分けて問い合わせると説明しやすくなります。

対策版が入っているなら、今回の告知への対応確認と、速度・電波範囲など別の買い替え理由を切り分けてください。確認できない場合は、型番と現在の版を伝えて公式サポートへ相談する段階です。問題の内容を知らないまま高価なルーターを購入することを、対策の第一歩にはしません。

本記事は公式情報にもとづく確認ガイドです。実機での脆弱性検証、通信測定、被害の有無の診断は行っていません。