中国製ルーターのバックドア疑惑、世界10万台に広がる供給網リスク

Zbtlink疑惑が映すルーター安保の転換点

米セキュリティー企業VulnCheckは2026年8月5日、中国・深圳のネットワーク機器メーカーZbtlinkの複数ルーターに、外部の命令を受けてroot権限でコマンドを実行できる遠隔操作機能が組み込まれていると公表しました。調査対象はZ8102AX系の5G CPEルーターを含む20機種超で、英メディアは少なくとも10万台規模が世界で使われていると伝えています。

重要なのは、この疑惑が家庭用Wi-Fi機器の不具合にとどまらない点です。ルーターは通信の出入り口に位置し、端末、クラウド、業務システムの通信を通します。ここが信用できなければ、境界防御、ゼロトラスト、暗号化通信の前提が崩れます。本稿では、技術的な危険性、Zbtlink側の反論、米中対立の文脈、日本企業の点検策を整理します。

ENDLESSDOORSの技術的な危険性

外向き通信で成立する遠隔操作

VulnCheckが問題視した中核は、ENDLESSDOORSと名付けた仕組みです。調査によると、Zbtlink製ルーターの中にはLinuxの正規カーネルスレッドに似せたkworkerという名前のプロセスが存在します。ただし、通常のカーネルスレッドはプロセス一覧で角括弧に囲まれて表示されるのに対し、問題のkworkerはroot権限で動く通常のユーザーランドプロセスでした。

このkworkerは、古い公開リポジトリにあるrctlという遠隔Linux制御ツールを改変したものと分析されています。GitHub上のrctlは、大量のLinux端末を分類し、コマンド送信や遠隔シェル接続を行う用途を説明しています。VulnCheckは、Zbtlinkの実装が外部の制御サーバーへ接続し、サーバー側から送られた命令をpopen()経由でroot権限実行できると説明しています。

この設計の危険性は、ルーターがインターネットから直接見える必要がないことです。一般的な攻撃では、外部から開いた管理ポートや脆弱なWeb画面を探します。しかしENDLESSDOORSは機器側から外へ接続します。NATやファイアウォールの内側にいても、外向き通信が許されていれば制御経路が成立します。

認証不在が招く乗っ取り余地

VulnCheckの分析では、この通信には十分な相互認証がありません。機器は固定長の識別情報とLAN側MACアドレスを送るだけで、サーバーの真正性を厳密に確認しないとされます。つまり、本来の通信先、名前解決、経路上のいずれかを攻撃者が支配できれば、機器が探している相手になりすまして命令を送れる可能性があります。

遠隔操作の語彙も深刻です。個別コマンドをroot権限で走らせる機能に加え、rctlbashという文字列で対話型のrootシェルを開けるとされています。VulnCheckは自社の検証環境で、実際にアウトバウンド通信を受け取り、対象機器からrootシェルを得たと説明しています。同社はこの問題にCVE-2026-66747を割り当てました。

攻撃者がルーターを操作できれば、端末内のファイルを直接盗まなくても被害は拡大します。DNS設定の改ざん、通信の中継、管理画面の無効化、内部ネットワークの偵察、IoT機器への横展開が可能になるためです。家庭ではフィッシングや認証情報の窃取に、企業ではVPNやクラウド接続の足場化に使われる恐れがあります。

二十機種超へ広がる同一構造

VulnCheckは、Zbtlinkのダウンロードページにあったおよそ二十数個のファームウェアイメージを調べ、21イメージでENDLESSDOORSに関連するハッシュを確認したとしています。対象モデルにはCPE2801、WE2007、WE2008-DSIM、WG3526、Z8102AX-2DSIMなどが含まれます。重要なのは、ロゴではなく型番で照合すべきだという点です。

ZbtlinkはOEMやODMも手掛けており、同じハードウェアやファームウェアがZBT、ZBTWiFi、Wiflyerなど別ブランドで流通する可能性があります。公式製品ページでも、調査対象系統の5G CPEルーターは最大128台の同時接続、VPN、WANフェイルオーバー、クラウド管理をうたっています。これは家庭だけでなく、店舗、移動体、臨時拠点、研究施設で使われても不自然ではない仕様です。

VulnCheckが示した通信先は、zbtctl.epplink.net、online-string.com、rbdg4nzqadui.wikaba.com、複数のIPアドレスに分かれます。特に一部はAlibaba Cloudの上海・深圳リージョンや中国系クラウドに関連するとされます。ただし、通信先が中国にあることだけで国家関与を証明できるわけではありません。問題の本質は、購入者が知らない遠隔制御経路が製品に含まれ、第三者にも乗っ取られ得る設計にあります。

米中対立に接続するネットワーク機器供給網

Zbtlinkの反論と販売停止の重み

Zbtlinkは公式声明で、VulnCheckの報告を認識しているとし、問題のrctlコンポーネントは顧客から明示的な依頼と承認があった場合に限るアフターサポート用の技術支援ツールだと説明しました。同社は不正アクセスに使われたことはないと主張する一方、対象機種の販売を直ちに停止し、関連ファームウェアの公式サイト配布を削除し、修正版を開発・公開中だと述べています。

この対応は、疑惑の評価を難しくします。メーカーが悪意を否定することと、製品に危険な遠隔操作機能が含まれていたことは両立し得るためです。保守機能であっても、認証、監査ログ、顧客側の明示的な有効化、サポート終了時の無効化がなければ、バックドアと同じ効果を持ちます。サプライチェーンリスクでは、意図の立証よりも、誰が、どこから、どの権限で操作できるかが先に問われます。

英The Registerは、Zbtlinkの説明と同時に、同社のファームウェアページから一部ダウンロードが消えたことを確認したと報じました。VulnCheckは協調的な脆弱性開示を選ばず、公表と同時に検知ルールを出しました。通常ならベンダーに修正期間を与える手続きが望ましいですが、同社は「製品に意図的に含まれたコンポーネント」と判断したため、所有者がすぐ防御できる公開を優先した形です。

過去事案が示すルーターの軍事的価値

この事案が米中安全保障の文脈で受け止められるのは、ルーターがすでに国家系サイバー活動の重要な足場になってきたためです。米司法省は2024年1月、中国系とされるVolt Typhoonが、サポート終了後のCiscoやNetgear製SOHOルーターをKV Botnetとして使い、米国の重要インフラ侵入の発信元を隠していたと発表しました。

同年9月には、米司法省とNSAが、PRC関連アクターがSOHOルーター、IPカメラ、DVR、NASなど20万台超の消費者機器をボットネット化していたと公表しました。共同勧告では、2024年6月時点で26万台超の機器が北米、南米、欧州、アフリカ、東南アジア、豪州に広がっていたと説明されています。Flax Typhoonとして知られる活動は、機器の所有者にとっては小さな家庭用機器の問題でも、攻撃者にとっては国境をまたぐ隠れ蓑でした。

中国に限らず、ロシア系アクターもルーターを狙っています。NSAは2026年7月、CISAやFBI、英国、カナダ、豪州などの機関とともに、ロシア連邦保安庁FSB系アクターが脆弱で設定の甘いルーターを悪用し続けていると警告しました。推奨策はSNMPv3の利用、強固な一意パスワード、不要プロトコルの遮断、ファームウェア更新など基本動作です。裏を返せば、基本が崩れたルーターは、どの国家系アクターにも使いやすい入口になります。

規制が販売後アップデートまで及ぶ理由

米国の政策もこの流れを映しています。FCCは2026年3月、外国で生産された消費者向けルーターをCovered Listに加え、新しいモデルの認可に制約をかけました。Reutersは、中国が米国家庭用ルーター市場の少なくとも6割を握ると推計されていると報じています。規制は特定企業だけでなく、製造、設計、開発、組み立ての場所まで問う広い枠組みに進みました。

一方で、FCCは既存機器のソフトウェア・ファームウェア更新を2028年末まで認める方針も示しました。危険だから更新を止めるのではなく、危険だからこそパッチ経路を残すという判断です。供給網の切り離しと、すでに市場に出た機器の安全確保は別の課題であり、政策当局もその矛盾を抱えています。

欧州ではサイバーレジリエンス法が2024年12月に発効し、主要義務は2027年12月から適用されます。報告義務は2026年9月から始まり、ルーター、モデム、スイッチは重要なデジタル製品のClass Iに位置づけられています。製造者は脆弱性対応、サポート期間、セキュリティ更新、情報提供の責任を負います。Zbtlink疑惑は、この規制潮流をさらに強める材料になります。

日本企業が直面する調達と運用の盲点

日本企業にとって最初の盲点は、調達リストに「ルーター」として載っていない機器です。5G CPE、車載Wi-Fi、監視カメラ用ゲートウェイ、工事現場の仮設回線、展示会ブースの通信機器、海外拠点が現地調達した安価なCPEは、情報システム部門の標準資産台帳から漏れがちです。ZbtlinkのようにOEM・ODMで流通する場合、箱のブランド名だけでは識別できません。

第二の盲点は、遠隔保守機能を善意の便利機能として見過ごすことです。クラウド管理、VPN、WANフェイルオーバー、リモートデバッグは、運用効率を上げます。しかし、利用者が無効化できず、ログにも残らず、通信先も固定的に検証されない場合、保守機能は攻撃者の制御機能に変わります。契約時には、遠隔保守の有無、標準での有効状態、認証方式、監査ログ、サポート終了後の扱いを確認すべきです。

第三の盲点は、脆弱性管理をCVE待ちにすることです。VulnCheckの2026年ネットワークエッジ調査では、2025年に悪用されたエッジ機器脆弱性の42.5%がサポート終了またはその可能性が高い機器に関係し、消費者向けルーターなどは56%を占めました。CVEや当局カタログに載る前に悪用が始まることも珍しくありません。

当面の対応は、対象モデルの棚卸し、外向き通信の監視、DNS問い合わせの記録、TCP 7000番・7001番の異常通信確認です。Zbtlink機器が見つかった場合は、VulnCheckが示したkworkerプロセス、/usr/sbin/kworker、/usr/lib/librctl.so、/etc/kworker.cfg、/etc/init.d/skworkerの有無を確認します。ただし、無効化だけで安心するのは危険です。実トラフィックを運ぶ機器は、交換または強い分離を前提に扱うべきです。

経営層が今週点検すべき三つの防衛線

今回の疑惑から得るべき教訓は、安価なルーターを一律に排除することではありません。必要なのは、通信の出入り口を「消耗品」ではなく、重要インフラの一部として管理することです。第一に、ブランド名ではなく型番、ファームウェア、製造元、OEM元で資産を把握する必要があります。第二に、外向き通信を原則許可する運用を見直し、ネットワーク機器からのDNS、未知クラウド、非標準ポート通信を監視する必要があります。

第三に、調達部門、情報システム部門、現場部門の責任分界を再設計することです。海外拠点や委託先が独自に設置した通信機器が、全社ネットワークの弱点になる時代です。Zbtlink事案は、中国製品だけの問題ではなく、遠隔保守、OEM流通、サポート終了、監視不足が重なった時に起きる供給網リスクの縮図です。企業は価格と納期だけでなく、更新責任と検証可能性を調達条件に組み込む段階に入っています。

参考資料:

• ENDLESSDOORS Is Phoning Home. Pick Up. | VulnCheck
• Official Statement from Shenzhen Zbt Electronics (Zbtlink)
• Z8102AX-T 5G SA NSA AX3000 WiFi 6 Dual SIM Card Wireless CPE | Zbtlink
• GitHub - ycsunjane/rctl: remote linux control
• Chinese router vendor denies its firmware contains backdoors | The Register
• Internet routers used in Brit homes have backdoor to China | The Sun
• FCC Adds Routers Produced In Foreign Countries to Covered List | FCC
• US agency says Chinese drones and routers can get software updates through 2028 | Reuters via Investing.com
• NSA and Partners Release Guidance on Improving Router Hygiene
• U.S. Government Disrupts Botnet People’s Republic of China Used | U.S. DOJ
• Court-Authorized Operation Disrupts Worldwide Botnet | U.S. DOJ
• VU#213560 - Tenda firmware contains hidden authentication backdoor | CERT/CC
• 2026 State of Exploitation: Exploiting The Network Edge | VulnCheck
• Cyber Resilience Act | European Commission