中国製無線ルーター20機種にバックドア 確認方法と規制動向

中国のZbtlink（ゼットビーティーリンク）社が製造する無線ルーターに、外部から遠隔操作できる「バックドア」が組み込まれていた——。米国のセキュリティ企業VulnCheckが2026年8月5日（現地時間）に公表した調査結果が、国内でも8月6日から相次いで報じられています。

対象は20機種以上、世界で推定10万台以上が稼働しているとされます。何が見つかったのか、自分のルーターが該当するかをどう確かめるのか、各国の規制はどう動いているのか。2026年8月7日時点で公表されている情報にもとづいて整理します。

先にお伝えしておくと、今回名指しされているのは特定の1社の製品です。「中国製の無線ルーターはすべて危険」という話ではありません。

中国製無線ルーターに何が見つかったのか（2026年8月）

結論から言うと、Zbtlink社製ルーターの出荷時ファームウェアに、外部の指令サーバーへ自動的に接続しようとするプログラムが含まれていた、という指摘です。

バックドア「ENDLESSDOORS」の概要

VulnCheckはこのプログラムを「ENDLESSDOORS」と名付けました。脆弱性の識別番号としてCVE-2026-66747が割り当てられています。同社の説明によると、正体は「rctl（remote control linux）」という小さな遠隔操作ツールです。

やっかいなのは隠れ方でした。Linuxの内部処理であるかのような名前を装いながら、実際にはroot権限で動く通常のプロセスとして常駐します。管理画面を眺めているだけでは気づけません。

項目	内容
公表	2026年8月5日（現地時間）／米VulnCheck
名称	ENDLESSDOORS（CVE-2026-66747）
対象	Zbtlink社製ルーター20機種以上
流通ブランド名	Zbtlink、ZBT、ZBTWiFi、Wiflyer
推定稼働台数	世界で約10万台以上
主な販路	Amazon、Alibaba、Shopify など

約35秒ごとに外部へ接続を試みる

報告によれば、このプログラムは約35秒ごとに、特定のIPアドレスと中国で登録されたドメインへ接続を試みます。接続が成立した場合、認証を経ずにroot権限のシェルが開く可能性があるとされています。

VulnCheckは、影響がルーター本体だけにとどまらない点も指摘しています。同じネットワークにつながった機器にも手が届きうるという内容で、家庭ならパソコンやスマートフォン、ネットワークカメラなどが同じ範囲に入ります。

対象とされているのはどの製品か

ブランド名だけを見ても判断しにくいのが、この件のわかりにくいところです。

4つのブランド名で流通している

Zbtlink社の製品は、自社名のほかに「ZBT」「ZBTWiFi」「Wiflyer」といった名称でも販売されています。日本国内でもオンラインの通販サイトを通じて入手できる状態にありました。

報じられている「20機種以上」という数字は、VulnCheckが調査した範囲のものです。同社は、調べた機種すべてのファームウェアから同じプログラムを検出したと説明しています。

機種の一覧は、調査が進めば変わる可能性があります。判断するときは、VulnCheckの公式ブログなど一次情報の最新版を確認してください。

メーカー側の説明と対応

Zbtlink社は、バックドアであることを否定しています。英メディアThe Registerの2026年8月6日の記事では、この機能は「アフターサービスの保守のみを目的としたもので、他の用途はない」と回答したと伝えられました。

さらに同社は、この機能は顧客のソフトウェア検証を助けるためサンプル機にのみ残すもので、量産して出荷する製品には含まれないとも説明しています。

一方、同社のダウンロードページには、一部のファームウェアにセキュリティ上の問題を検知したため該当版の配布を一時的に取り下げ、修正版を準備中である旨が掲示されました。説明と実際の対応にずれがあるのではないか、という指摘も出ています。

自分のルーターが該当するか確認する手順

やることは多くありません。手元の機器を見て、次に基本設定を見直す、の2段階です。

なぜ各国が海外製ルーターを問題視するのか

今回の一件は突然出てきた話ではなく、通信機器の調達を安全保障の問題として扱う流れの中にあります。

米国：外国製ルーターを規制対象リストへ（2026年3月）

米連邦通信委員会（FCC）は2026年3月23日、国家安全保障上の脅威となりうる「対象機器・サービス」のリストに、消費者向けの外国製ルーターを追加しました。FCCの認証を受けていない新型の外国製モデルが措置の対象になります。

米国ではそれ以前から、通信機器の輸入・販売を制限する規則が段階的に強められてきました。ルーターはその延長線上に置かれた格好です。

日本：IoT機器のセキュリティを見える化する「JC-STAR」

日本では、IPA（情報処理推進機構）が運営する「JC-STAR（セキュリティ要件適合評価及びラベリング制度）」が2025年3月25日に始まっています。IoT製品がセキュリティ要件を満たしているかを確認し、ラベルで見えるようにする制度です。

対象製品にはルーターやネットワークカメラも含まれます。ただし2026年8月時点で取得は任意であり、輸入や販売を禁じるものではありません。米国の措置とは性質が異なる点に注意してください。

このほか、総務省とNICTが運営する「NOTICE」でも、ルーターやネットワークカメラの安全な使い方についての情報が公開されています。

買い替えを検討するときの見極めポイント

買い替えるかどうかは、いま使っている機種と使い方によって変わります。判断材料になりそうな観点を挙げておきます。

• メーカーがサポート期間とファームウェア更新の方針を公開しているか
• 脆弱性が見つかったときの告知先や問い合わせ窓口がはっきりしているか
• 管理画面のパスワードを初期値から変更する手順が用意されているか
• JC-STARのような、第三者が確認する仕組みのラベルが付いているか
• 光回線やモバイル回線など、自宅の回線方式に合っているか

安い製品を避けましょう、という話ではありません。「問題が起きたとき、誰がどう直すのかがわかる製品か」を見るのが要点です。

よくある質問

中国製の無線ルーターは、すべて使わないほうがいいですか？

今回公表されたのは、特定の1社の製品に関する調査結果です。製造国だけで一律に判断できる話ではありません。メーカーの対応方針やサポート体制など、確認できる材料をもとに個別に見るのが現実的です。

ファームウェアを更新すれば解決しますか？

VulnCheckは、今回の機能は不具合ではなく設計上組み込まれたものだとして、更新ではなく機器の入れ替えを推奨しています。メーカー側は修正版のファームウェアを準備中としており、2026年8月7日時点で状況は動いています。

自分のルーターが外部と通信しているか調べられますか？

セキュリティ研究者が検出用のツールや監視ルールを公開しています。ただし利用には一定の知識が必要です。まずは本体の型番を確認するところから始めるのが確実です。

会社で使っている機器が該当した場合は？

社内のネットワーク管理者や契約している事業者に型番を伝えて相談してください。個人の判断で機器を外すと、業務に影響が出る場合があります。

まとめ

2026年8月に明らかになった中国製無線ルーターのバックドア問題について、現時点でわかっていることを整理しました。

• 米VulnCheckが2026年8月5日、Zbtlink社製ルーター20機種以上に「ENDLESSDOORS」を確認したと公表
• ZBT、ZBTWiFi、Wiflyerの名称でも流通し、世界で推定10万台以上が稼働
• メーカーはバックドアを否定する一方、一部ファームウェアの配布を一時停止
• 米FCCは2026年3月に外国製ルーターを規制対象リストへ追加、日本ではJC-STARが2025年3月から任意運用

まずは本体のラベルで型番を確認するところから。該当していなくても、管理画面のパスワードとファームウェアの更新状況を見直しておけば、この機会は無駄になりません。