「中国製のルーターにバックドアが仕込まれていた」というニュースを見て、自宅のルーターの型番を確認した方も多いのではないでしょうか。
先に結論から言います。日本の一般家庭のほとんどは、今回の件で慌てて買い替える必要はありません。
ただし、中国製かどうかとは全く別の理由で、今すぐ確認したほうがいいことが1つだけあります。この記事の後半でそこに触れます。
私はネットワークエンジニアとして10年以上、企業や官公庁の現場で機器を触ってきました。その立場から見ると、今回の報道は「怖がるべき部分」と「そこまでではない部分」がかなりはっきり分かれています。順番に整理していきます。
何が見つかったのか──Zbtlink製ルーターの「ENDLESSDOORS」
2026年8月上旬、セキュリティ企業のVulnCheckが公開した調査結果が発端です。
対象はZbtlink（深圳市智博通電子）という中国メーカーのルーター。同社の公式ダウンロードページで配布されていたファームウェアイメージ21件すべてに、外部から遠隔操作を受け付けるプログラムが組み込まれていました。VulnCheckはこれを「ENDLESSDOORS」と命名し、CVE-2026-66747が採番されています。
技術的な中身は、ネットワークエンジニアの目から見るとかなり露骨です。
- 起動時に自動実行される。
skworkerという名前のinit.dスクリプトから起動する - root権限で動く。 Linuxのカーネルスレッドに偽装しているが、実体はユーザーランドのプロセス
- 最短35秒間隔で外部へビーコンを送る。 接続先は中国に登録されたコマンド&コントロール（C2）サーバー
- 通信先ポートは7000/7001
- 正体は「rctl（remote control linux）」という小さなツール。2015年1月にGitHubへアップロードされたきり更新されていない、無名のリポジトリのコード
VulnCheckのCTOであるJacob Baines氏は「ルーターをネットワークにつなぐと中国のサーバーへ接続を試み、そのサーバーからルーターを完全に制御できる」と説明しています。
対象は20機種以上。Zbtlink、ZBT、ZBTWiFi、Wiflyerといったブランド名で世界中に流通しており、推定で10万台以上が稼働中とされています。
メーカー側の説明と、その不自然さ
Zbtlinkはこれを否定しています。The Registerの取材に対し「この機能はアフターサービスの保守のみを目的としたもので、他の用途はない。顧客のソフトウェアデバッグを支援するためにサンプル機にのみ残されるもので、量産出荷品には含まれない」と回答しました。
ただし同社は同じタイミングで、ファームウェアのダウンロードを停止しています。ページには「一部のルーターファームウェアリリースにセキュリティ脆弱性を検出したため、該当バージョンを配布チャネルから一時的に削除した」という趣旨の告知が出ました。量産品に含まれていないのなら、配布を止める理由がよく分かりません。
「脆弱性」ではなく「信頼の問題」
もう1点、ネットワークエンジニアとして注目したのはVulnCheckが協調開示（メーカーへの事前通知）をしなかったことです。
通常、脆弱性を発見した研究者はメーカーに先に伝え、修正の猶予を与えてから公表します。VulnCheckはそれを意図的に省きました。理由は明快で、協調開示は「メーカーが意図せず作り込んでしまった欠陥」を前提にした手続きだからです。
今回はメーカー自身のブートスクリプトが起動する、メーカー自身が作ったコンポーネントで、20機種以上・数年分のファームウェアに一貫して存在していた。Baines氏は「これはパッチで直す問題ではなく、信頼の問題だ」と述べています。
なお、Reutersは「なぜこのバックドアが存在するのか、どんな目的で仕込まれたのか、実際に悪用された事例があるのかは確認できなかった」と報じています。ここは押さえておくべき留保点です。
それ、TP-Linkの話ではありません
ここが今回いちばん誤解されているところだと思います。
今回バックドアが見つかったのはZbtlinkであって、TP-Linkではありません。 Zbtlinkのような「出荷時から仕込まれた遠隔操作機能」がTP-Link製品で確認された、という報告は現時点でありません。TP-Linkに脆弱性が存在しないという意味ではなく、性質がまったく異なる話だということです。
ただ、TP-Linkが全く無関係かというとそうでもなく、報道が並べて扱われる背景があります。
TP-Linkを巡る、これまでの経緯
2026年2月：テキサス州がTP-Linkを提訴
州司法長官は訴状で、TP-Linkの所有関係とサプライチェーンが中国と結びついており、情報機関の要請への協力を義務付ける中国の法律の対象になる、と主張しました。加えて、同社製品のファームウェアの脆弱性がすでに数百万人の消費者をリスクにさらしているとしています。
2026年3月23日：FCCが外国製ルーターの機器認証を停止
米連邦通信委員会が、外国で製造された消費者向けルーターに必要な機器認証を一律で出さない措置を導入しました。ここで重要なのは、対象が「中国製」ではなく「外国製すべて」だったという点です。TP-LinkもASUSもNetgearも巻き込まれました。その後、中国企業ではない複数のメーカーには適用除外が認められています。
なお、すでにFCCの認証を受けている既存製品は、この措置の対象外です。「今持っている機器が使えなくなる」という話ではありません。
2026年4月：TP-Link自身が11件の脆弱性を公表
公式アドバイザリ（FAQ/4935）で、Wi-Fi 7対応のArcher BE230 v1.2を含む3機種に、CVSSスコア最高8.6のOSコマンドインジェクション脆弱性が計11件あることを公表しました。これらは修正ファームウェアが配布済みです。
TP-Link側の主張
TP-Link側は一貫して否定しています。日本法人のサイトにも掲載されている米国本社の声明では、自社製品が他社製品よりハッキングに脆弱であるという兆候は認識していないこと、中国政府が同社製品の設計や製造にアクセス・管理する立場にないこと、中国本土でのみ販売しているTP-LINK Technologiesとは提携関係にないことが述べられています。
「中国製を避ける」で解決するのか──しません
では中国メーカーを避ければ安心かというと、話はそう単純ではありません。理由が3つあります。
理由1：ホワイトラベルで出所が見えない
Baines氏はZbtlinkの件について、こう警告しています。「ある製品が韓国企業やドイツ企業のものに見えても、実際には同じ中国の1社が製造しているということがある。その会社のファームウェアが使われているかもしれないが、実態は分からない」
Zbtlink自身がOEM/ODM製造を手がけており、同じハードウェアが別のブランド名で売られています。箱に書いてあるブランド名は、中身のファームウェアが誰の書いたものかを教えてくれません。
特に危ないのが、通販サイトで安く売られている無名ブランドのモバイルルーターやセルラーCPEです。VulnCheckも「出所の不明瞭な無印のセルラーCPE」に注意するよう呼びかけています。
理由2：規制する側も「中国製」で線を引けなかった
前述の通り、FCCの措置は「外国製すべて」が対象でした。当初はTP-Link単独を狙う方向で議論が進んでいましたが、最終的には製造地域そのものを対象とする形に落ち着いています。
つまり、世界最大の規制当局ですら「中国製だけを切り分ける」という線引きを実務的に選ばなかったわけです。消費者が店頭でそれをやるのは、もっと難しい。
理由3：国籍を変えても、事故は起きる
もう1つ、身も蓋もない話をします。
2025年5月、セキュリティ企業GreyNoiseが「AyySSHush」と名付けたキャンペーンを公表しました。約9,000台のASUS製ルーターが侵害され、バックドアを仕掛けられていたというものです。
手口がなかなか厄介でした。総当たりと認証バイパスで侵入したあと、CVE-2023-39780で任意コマンドを実行し、ASUS公式の設定機能を使ってSSHを有効化し、公開鍵を書き込む。マルウェアを一切設置しないため検出されにくく、しかもこの鍵はファームウェアを更新しても再起動しても残り続けます。ログ機能も無効化されていました。感染済みの機器から取り除くには工場出荷時リセットが必要です。
ASUSは台湾の企業です。中国製を避けても、これは起きました。
誤解のないように書きますが、ASUSが危険だと言いたいわけではありません。どのメーカーの製品でも、脆弱性が放置されればこうなるということです。
だから判断基準は「どこの国のメーカーか」ではなく、「脆弱性が公表されたときに、修正が自分の機器まで届く状態にあるか」になります。この記事が最終的に言いたいのは、ほぼこれ1つです。
日本の家庭のリスクを正しく見積もる
ここで「じゃあどうすれば」の前に、日本の家庭にとって実際どの程度の話なのかを整理します。
日本の店頭で、TP-Linkは「少数派」ではありません
ここは正直に書きます。
この記事を書き始めたとき、私は「日本ではTP-Linkのシェアは低いから、そもそも大半の読者には関係ない話ですよ」という流れを想定していました。ところが実売データを確認したら、そうは言えませんでした。
BCNランキング（全国の主要家電量販店・ネットショップの実売データを集計したPOSデータベース。パソコンの場合で店頭市場の約4割をカバー）の無線LANルーター週次TOP10を追うと、傾向はこうです。
- 1位はほぼ常にバッファローのAirStation。上位を複数機種で占める週が多い
- TP-LinkのArcherシリーズも毎週のようにTOP10入りしている。2026年4月20〜26日の週は3位・4位・5位・9位、3月16〜22日の週は4位・5位・6位・9位をTP-Linkが占めた
- NECのAterm、エレコムのWRCシリーズがこれに続く
バッファローが最大手であることは間違いありませんが、TP-Linkは日本の店頭でも確実に売れています。この記事を読んでいる方の中にも、TP-Linkユーザーは相応にいるはずです。
なお、ネット上には「国内シェアはバッファロー53%、TP-Link 8.8%」といった具体的な数値も出回っています。ただ出典をたどると市場の定義が曖昧で、家庭用に限った数字なのかが判然としませんでした。TP-Linkの米国シェアにいたっては、調査機関によって「65%超」「36.6%」「12%」「10%未満」とまるで別物の数字が出ています。この手のパーセンテージは鵜呑みにしないほうがいい、というのが私の見方です。
というわけで、この記事では「使っている人が少ないから大丈夫」という逃げ方はしません。使っている前提で、どう判断すべきかを書きます。
家庭が現実に晒されるリスクは「踏み台化」
そのうえで、仮にバックドア入りの機器を家庭で使っていたとして、何が起きるのか。
映画的な「あなたの通信が中国で監視される」という絵を想像しがちですが、現場の感覚で言えば、一般家庭が個別に狙い撃ちされる可能性は高くありません。もっと現実的なのは踏み台化です。
- 他所への攻撃の中継点として使われる
- ボットネットの一員に組み込まれる
- 同じLAN内の他の機器（NAS、監視カメラ、PC）への侵入経路になる
なお、国内メーカーでも脆弱性は当然出ます。バッファロー製Wi-Fiルーターの事例は別記事で詳しくまとめています。
バッファロー製Wi-Fiルーター46機種に重大な脆弱性｜ネットワークエンジニアが解説する本当のリスクと今すぐやること
実例があります。Microsoftが2024年に公表した「CovertNetwork-1658」（別名Quad7、xlogin）です。中国の脅威アクターがSOHO向けルーターやカメラなどを乗っ取ってボットネットを構築し、Microsoft 365アカウントへのパスワードスプレー攻撃の中継に使っていました。ピーク時には16,000台を超え、Microsoftの実測でも常時平均約8,000台が稼働。その大半がTP-Link製ルーターでした。
……と書くと「やはりTP-Linkか」となりそうですが、話はそこで終わりません。
TP-Link自身が公開しているFAQによれば、このボットネットに悪用された機種は、いずれもすでにEOL（サポート終了）状態で、稼働していたファームウェアも最新から数世代遅れたものでした。後継の現行機種は同じ脆弱性の影響を受けません。TP-LinkはEOL後にもかかわらず、該当する脆弱性を修正したファームウェアを公開しています。
つまりこの事件の本質は「TP-Linkだから乗っ取られた」ではなく、「サポートの切れた古い機器がインターネットに晒されたまま放置されていたから乗っ取られた」です。
家庭にとっての実害は「自分が被害者になる」より「加害の道具にされる」ほうが先に来る。そして引き金を引くのは、メーカーの国籍ではなく機器の年齢です。
結論：ほとんどの家庭は買い替え不要
以上を踏まえた結論はこうです。
現行モデルを使っていて、ファームウェアの更新が届いている状態なら、メーカーの国籍を理由に買い替える必要はありません。
TP-Linkを使っている方も同様です。バックドアが見つかったわけではなく、公表された脆弱性には修正ファームウェアが出ています。過剰に不安になるより、更新が当たっているかを確認するほうが実効性があります。
ファイアウォールがあれば防げるのか──半分ノー
さて、ここからは少し踏み込んだ話です。
「うちはファイアウォールを入れているから大丈夫」という方がいます。自宅にFortiGateやYAMAHA RTXを置いている、いわゆる自宅ラボ勢ですね。私自身もFortiGate 60Fを自宅に置いています。
結論から言うと、普通のファイアウォール設定では防げません。理由を説明します。
インバウンド遮断は効かない
家庭用ルーターのファイアウォール機能も、業務用機器のデフォルト設定も、基本的には外から中への通信（インバウンド）を止めることに主眼があります。NATとステートフルインスペクションで、内側から始まった通信の戻りだけを通す。これが標準的な考え方です。
ところがENDLESSDOORSは、内側から外へ自分で接続を張りに行きます。ルーター自身がC2サーバーに向けて35秒おきに声をかけ、命令を待つ。
この通信は「内側から始まった正常な通信」に見えます。インバウンドをいくら固く閉じても、素通りです。
効くのはアウトバウンド制御（egress filtering）
止めるなら、外向きの通信を制御する必要があります。
- デフォルトdeny + 許可リスト方式にする（必要な宛先・ポートだけ通す）
- 7000/7001番ポートの外向き通信をブロック・アラートする
- DNSクエリをフィルタ・記録して、見慣れないドメインへの問い合わせを検知する
- 特にネットワーク機器セグメントからの外向き通信を重点的に監視する
VulnCheck自身の推奨も、これに沿ったものです。「該当機器は交換する。少なくとも厳格なegress制御の背後に移し、そのLANは信頼できないものとして扱う」
これ、言い換えるとゼロトラストの考え方そのものです。「内側だから安全」という前提を捨てる、という話に他なりません。
決定的な問題：その機器が境界そのものなら、上流に何もない
ただし、ここに構造的な落とし穴があります。
ファイアウォールは、疑わしい機器より上流になければ意味がありません。
家庭でよくある構成を並べてみます。
構成A：ONU → 疑わしいルーター（ルーターモード）
これが最悪です。疑わしい機器そのものが境界になっているため、その外向き通信を検査する装置が存在しません。ルーター自身がegress制御の主体なので、自分で自分を止めることは期待できない。打つ手なしです。一般家庭のほとんどはこの構成です。
構成B：ONU → 信頼できるファイアウォール → 疑わしい機器（APモード/ブリッジ）
これなら話が変わります。上流のFortiGateなどで外向き通信を検査・遮断できるため、異常なビーコンを検知できます。ただしその機器はAPとして残るので、配下のLANは信頼しない前提で組む必要があります。
ちなみに私の自宅がこの構成です。ONUの下にFortiGate 60Fを置き、その配下でASUS製のルーターをAPモードで動かしています。Wi-Fiの電波としては市販機の性能をそのまま使いつつ、外向き通信の検査は上流のFortiGateに任せる、という分担です。
この形にしておくと、仮に配下の機器に問題があっても、外へ出ていく通信は必ずFortiGateを通ります。「どのメーカーの機器を使うか」より「どこに置くか」のほうが効くというのは、こういうことです。
構成C：信頼できるルーター配下で、疑わしい機器を別VLAN／ゲストSSIDに隔離
現実的な妥協案です。仮に侵害されても、他の機器への横展開を制限できます。
つまり、「ファイアウォールがあるから大丈夫」が成立するのは構成BかCだけで、構成Aでは成立しません。そして自宅ラボを組んでいる方でも、疑わしい機器を境界に置いていたら意味がない。位置関係がすべてです。
家庭で現実的にできること
FortiGateを買え、という話をしたいわけではありません。家庭用ルーターでもできることはあります。
- ルーター自体を信頼できるメーカーの現行機にする（＝構成Aのリスクを下げる）
- 中華製の格安IoT機器やカメラはゲストSSIDに隔離する
- DNSをフィルタリング機能のあるサービスに向ける
要は「境界に置く1台だけは妥協しない、その配下は隔離する」という設計です。
先ほど触れた自宅のFortiGate 60Fについては、開封から初期設定までを実機の画面付きでまとめています。
FortiGate 60F 開封から初期設定まで完全ガイド｜現役NEが実機で進める手順
本当に確認すべきはここ──あなたのルーター、まだサポート内ですか
さて、冒頭で「中国製かどうかとは別の理由で、今すぐ確認したほうがいいことが1つある」と書きました。それがこれです。
そのルーター、まだメーカーのサポート期間内ですか。
ネットワークエンジニアとしての実感を言えば、日本の家庭のルーターにとってバックドアより桁違いに現実的な脅威が、サポート切れの機器を使い続けることです。脆弱性が見つかっても修正パッチが来ない。攻撃コードは公開される。この状態のほうが、よほど危ない。
NECがサポート期間を5年→3年に短縮しました
そして今、この問題が静かに深刻化しています。
NECプラットフォームズは2025年7月1日、Atermシリーズのサポート期間を「販売終了から約5年」から「販売終了から約3年」へ短縮すると発表しました。適用は2025年12月1日からです。
背景には、長期サポートのコスト負担と、旧機種に最新のセキュリティ基準を適用する技術的な限界があるとされています。理屈は分かりますが、ユーザー側の影響は小さくありません。
やっかいなのは、起点になる「販売終了日」がユーザー側から分からないことです。発売日は調べられても、メーカーが販売を終了した日は公表されないことが多い。単純な引き算では、自分の機器があと何年サポートされるのかが読めません。
ただしNECの場合、これを補う仕組みがあります。サポート終了の約1年前になると、保守リストの「サポート期間状況」欄に終了年月が追記されるのです。「サポート期間中（2026年11月まで）」といった表示になります。
つまり型番さえ分かれば、一覧を引くだけで自分の機器の残り時間が確認できます。バッファロー・エレコム・アイ・オー・データにも同様のサポート終了製品一覧があります。
「まだ使えるから」で5年、7年と使い続けている家庭は、決して珍しくないはずです。そして繰り返しますが、これが日本の家庭にとって、中国製バックドアより現実的なリスクです。
確認手順
やることは単純です。
- ルーター本体の底面か側面のラベルで型番を確認する（管理画面のトップにも表示されます）。ここで大事なのは、ラベルに書かれている型番をそのまま使うことです。通販限定モデルは、同じ中身でも型番の頭や末尾が量販店向けと違う場合があります（例：NEC Atermの量販店向け「PA-」に対し、Amazon限定は「AM-」）。うろ覚えの型番で検索すると、自分の機種が一覧に見つからず「載っていない＝サポート終了」と誤解しかねません
- メーカー公式のサポート終了機種一覧に載っていないか確認する
NEC：Atermのサポート期間について（保守リスト）
バッファロー・エレコム・アイ・オー・データにも同様のサポートページがあります - 管理画面でファームウェアが最新か確認し、自動更新をONにする
これを5分やるほうが、メーカーの国籍を悩むより実利があります。
買い替えが必要な人・不要な人
整理します。
買い替え不要な人（おそらく大多数）
- 現行モデル、または販売終了から3年以内の機種を使っている
- ファームウェアが最新に保たれている
- メーカーがバッファロー、NEC、エレコム、アイ・オー・データ、TP-Linkなど、脆弱性情報を公開し修正を出しているところ
この条件に当てはまるなら、今回のニュースを理由に買い替える必要はありません。自動更新がONになっているかだけ確認してください。
買い替えを検討したほうがいい人
- サポートが終了している機種を使っている（これが最優先）
- 通販で買った無名ブランド・ノーブランドのルーターやモバイルルーターを使っている（出所とファームウェアの素性が分からない）
- 在宅勤務で、業務用のPCが家庭用ルーター配下にいる（万一の際の影響範囲が家庭内で収まらない）
- Wi-Fi 5世代以前の機器で、そもそも通信品質にも不満がある
選ぶ基準は「国産かどうか」ではありません
では買い替えるとして、何を基準に選ぶか。ここでもメーカーの国籍は基準になりません。代わりに使えるものが2つあります。
基準1：発売時期が新しいこと
スペックより優先度が高い項目です。同じ価格帯なら、型落ちのハイエンドより現行のミドルクラスを選んだほうが、サポート期間という意味では確実に有利になります。NECの件で分かる通り、サポートは「発売から」ではなく「販売終了から」カウントされるからです。
基準2：JC-STARのラベルがあること
これは知らない方が多いと思うので、少し説明します。
JC-STAR（セキュリティ要件適合評価及びラベリング制度）は、経済産業省とIPA（独立行政法人 情報処理推進機構）が2025年3月25日に運用を開始した、IoT製品向けのセキュリティラベリング制度です。ETSI EN 303 645やNISTIR 8425といった国際規格と調和させつつ、日本独自に適合基準を定めています。
適合した製品には、二次元バーコード付きのラベルが付与されます。適合基準は★1から★4の4段階。
- ★1・★2：メーカーが自己評価したチェックリストをIPAが確認する「自己適合宣言」方式
- ★3・★4：独立した第三者評価機関の評価報告書をもとにIPAが認証する方式。政府機関や重要インフラ事業者向けを想定
現在運用されているのは★1のみで、これは全IoT機器に共通する最低限の要件です。★2以上は、通信機器やネットワークカメラといった製品カテゴリー別に基準が定められる予定になっています。
★1は自己宣言なので万能ではありません。ただ、メーカーがセキュリティ要件に対して公式に説明責任を負っている製品かどうかを、専門知識なしにパッケージで判別できるという意味は小さくない。特に、出所の分からないノーブランド品と、現行の主要メーカー品を分ける基準としてはかなり実用的です。
制度自体がまだ始まったばかりで対応製品は多くありませんが、バッファローをはじめ国内メーカーは対応を表明しています。買い替える際の目安の1つにしてください。
「中国製を避ける」より、こちらのほうがよほど中身のある判断基準です。
参考までに、BCNの実売ランキング上位に入っている現行モデルを挙げておきます。いずれも国内メーカーの現行機で、サポート期間という観点では安心して選べる部類です。
ポチップ
ポチップ
ポチップ
買い替えないなら、これだけはやる
最後に、買い替えない方向けの最低限のチェックリストです。所要時間は10分程度。
1. ファームウェアを最新にして、自動更新をONにする
最も効果が高く、最も見落とされています。
ただし1点だけ注意を。ASUSの事例のように、侵害された後に仕込まれた永続化は、ファームウェア更新では消えないことがあります。覚えのない設定が有効になっている、通信量が明らかにおかしいといった兆候があるなら、更新ではなく初期化まで踏み込む判断が必要です。
2. WAN側からのリモート管理をOFFにする
外部から管理画面にアクセスできる設定は、まず必要ありません。デフォルトでOFFの機種が多いですが、確認しておく価値はあります。
3. 管理画面のパスワードを初期値から変えているか確認する
本体ラベルに書かれた初期パスワードのままの家庭は、いまだにかなりあります。
初期パスワードの放置がどれだけ致命的かは、CISAのガイドラインを扱った記事でも触れています。
ゼロトラストの前に既定パスワードを｜CISA CPG 2.0
4. IoT機器・スマートカメラはゲストSSIDに分ける
格安の中華製カメラやスマートプラグを使うなら、メインのSSIDとは分けておく。万一の際に横展開を防げます。
5. UPnPが不要ならOFFにする
一部のゲーム機やアプリで必要になりますが、使っていないならOFFのほうが安全です。
まとめ
今回の件を整理すると、こうなります。
- バックドアが見つかったのはZbtlinkであって、TP-Linkではない
- ただし製造の実態はホワイトラベルで見えにくく、「中国製を避ける」だけでは解決しない。FCCですら中国製だけを切り分けられなかったし、台湾のASUSでも約9,000台が侵害されている
- 日本の家庭が晒されるリスクは主に踏み台化。ただし過去最大級の事例（CovertNetwork-1658）で狙われたのは、EOLを迎えた古いファームウェアの機器だった
- ファイアウォールがあっても、インバウンド遮断だけでは防げない。効くのはアウトバウンド制御で、しかもその機器より上流に置かれている必要がある
- 日本の家庭にとって最も現実的な脅威は、中国製かどうかよりサポート切れの機器を使い続けること。NEC Atermは2025年12月からサポート期間が販売終了後3年に短縮された
- 買い替えるなら基準は国籍ではなく、発売時期の新しさとJC-STARラベル
ニュースの見出しは「中国製ルーターにバックドア」ですが、今日あなたが実際にやるべきことは、ルーターの型番を確認して、サポート内かどうかを調べることです。
地味ですが、こちらのほうが確実に効きます。
