中国製ルータのバックドア「ENDLESSDOORS」が暴くサプライチェーンの闇

深夜のデータセンターで、突如として発生する原因不明のトラフィック急増。エンジニアであれば誰もが一度は経験する、あの胃が痛くなるような瞬間を想像してほしい。今回、米サイバーセキュリティ企業VulnCheckが公表した中国・深センのZbtlink製ルータにおけるバックドア「ENDLESSDOORS」の存在は、まさにその悪夢を物理層の入り口で体現している。単なる脆弱性ではない。これは、設計段階から意図的に組み込まれた「裏口」であり、我々が信頼して設置したネットワーク機器が、実は最初から敵の橋頭堡として機能していたという事実に他ならない。

技術的な詳細を紐解くと、その巧妙さが際立つ。このバックドアは、Linux向けの遠隔操作ツール「rctl」を改変したもので、機器の起動時に自動実行されるようファームウェアに深く埋め込まれている。特筆すべきは、その通信方式だ。ルータ側からC2（指令・制御）サーバへアウトバウンドで接続を試みるため、ファイアウォールの内側に隠れた機器であっても、インターネット側からの直接アクセスなしに制御が可能となる。つまり、NATやステートフルパケットインスペクション（SPI）といった従来の防御策を、いとも簡単に無効化してしまうのだ。CVE-2026-66747として割り当てられたこのバックドアは、root権限でのコマンド実行や対話型シェルの起動を許し、攻撃者にネットワークの支配権を完全に明け渡すことを意味する。

VulnCheckの研究チームが21のファームウェアイメージを解析した結果、すべてにこのコードが含まれていたという事実は、単なる実装ミスではなく、組織的な意図を感じざるを得ない。世界で10万台以上が稼働していると推測されるこの機器は、OEM／ODM供給を通じて、我々が知らないブランド名でオフィスや家庭に浸透している可能性が高い。これは、単一のメーカーを避ければ済むという単純な問題ではない。サプライチェーンの深層で、信頼の連鎖が根底から崩壊しているのだ。

「安価で高性能なルータ」という甘い誘惑の裏側には、常にこうしたリスクが潜んでいる。我々エンジニアは、コスト削減というビジネス上の要請と、セキュリティという技術的責務の板挟みになりがちだ。しかし、今回の事案は、そのバランスを根本から見直す必要性を突きつけている。米国連邦通信委員会（FCC）が「Covered List」を拡充し、外国製機器の認証を制限する動きを見せているのは、もはや地政学的な対立を超えた、インフラ防衛の必然的な帰結であると言える。日本国内においても、政府や自治体の調達基準が厳格化されているが、現場レベルでの意識変革は追いついているだろうか。

以下の表は、今回の事案が浮き彫りにした、現代のネットワーク機器調達におけるリスク構造を整理したものだ。我々が直面しているのは、単なる「バグ」ではなく、構造的な「信頼の欠如」である。

我々エンジニアは、明日から何をすべきか。まず、自社のネットワーク環境に存在する機器の棚卸しを徹底することだ。特に、安価なOEM製品や、長期間アップデートが放置されているレガシーなルータは、即座に隔離またはリプレースの対象とすべきである。また、ネットワークの境界防御に依存するのではなく、内部通信を監視し、異常なアウトバウンド通信を検知する仕組みを構築することが不可欠だ。技術的な対策以上に重要なのは、「安価な機器には、見えないコスト（セキュリティリスク）が上乗せされている」という認識を、経営層や調達部門と共有することである。

最後に、我々自身に問いかけたい。利便性とコストを優先し、ブラックボックス化した機器をネットワークの心臓部に配置し続けることは、果たしてエンジニアとしての倫理に適っているのだろうか。技術の進歩が加速する中で、我々は「何を作るか」だけでなく、「何を信頼し、何を排除するか」という、より高度な判断を迫られているのではないだろうか。この問いに対する答えを出すことこそが、次世代のネットワークを守るための唯一の処方箋となるはずだ。