外部からのアクセスをことごとく跳ね除けるルーターの設定を、インターネット側から変更するのは容易なことではない。ところが一定の条件がそろうと、攻撃がいとも簡単に成立してしまう。
もし、接続するだけで使える簡単設定がウリのルーターを、初期設定のまま使用しているなら要注意。ブラウザを使って説明書に書かれている通りの手順でルーターの管理画面が開け、設定変更が行えるような状態ならば、あと一手で詰んでしまう。設定変更に必要なルーターのIPアドレスとパスワードが周知のものなので、あとはルータにアクセスできさえすれば攻撃が成立するのだ。
この最後の一手となる要素のひとつが、ルーターの脆弱性だ。シマンテックの報告にあった攻撃は、特定のルーターにあるクロスサイト・スクリプティング（XSS）の脆弱性を突き、本来はできないはずの外部からの攻撃を成立させていたらしい。
ヤマハは1月28日、同社の複数のルーターにクロスサイト・リクエスト・フォージェリ（CSRF）の脆弱性が見つかったとして、対策済みのファームウェア（ハードウェア内部のソフトウェア）を公開した。この脆弱性もまた、管理画面にログインしているという条件付ではあるが、ルーター攻略の最後の一手と成りうる。該当機種を使用している方は、ファームウェアをアップデートし問題を回避しておいていただきたい。ファームウェアがまだ用意されていない機種やリリース予定のない機種に関しては、同社はブラウザによる設定機能を使用できないよう、ルーターの設定を変更するなどの措置をとるよう勧めている。
同様の脆弱性は昨年10月、バッファローの無線LANルータでも見つかっており、同社サイトで対策済みのファームウェアが公開されている。
（2008/02/01 ネットセキュリティニュース）
■WWWブラウザによる設定におけるクロスサイト・リクエスト・フォージェリの脆弱性について（ヤマハ）
http://www.rtpro.yamaha.co.jp/RT/FAQ/Security/JVN88575577.html
■複数のヤマハルーター製品におけるセキュリティ上の弱点（脆弱性）の注意喚起について（IPA）
http://www.ipa.go.jp/security/vuln/documents/2008/200801_Yamaha.html
■WZR-RS-G54HP、WZR-RS-G54、WHR2-G54V、BHR-4RV製品におけるクロスサイトリクエストフォージェリの脆弱性についての、お知らせとお詫び（バッファロー）
http://buffalo.jp/support_s/20071015.html
■「AirStation WZR-RS-G54」および「AirStation WZR-RS-G54HP」におけるセキュリティ上の弱点（脆弱性）の注意喚起について（IPA）
http://www.ipa.go.jp/security/vuln/200710_AirStation.html