CVE-2026-0581: Injeção de comando no handler formBehaviorManager do httpd do Tenda AC1206

Visão geral

A CVE-2026-0581 afeta o componente httpd do roteador Tenda AC1206, versão 15.03.06.23. O registro localiza a falha na função formBehaviorManager, acessada pelo caminho /goform/BehaviorManager. Segundo a descrição, a manipulação dos argumentos modulename, option, data e switch pode levar a injeção de comando, classificada como CWE-77. O CNA responsável é a VulDB.

Impacto

• A descrição informa que o ataque pode ser feito remotamente, o que é o principal fator da alta pontuação da NVD.
• O vetor CVSS 3.1 da NVD (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) indica que não são exigidos privilégios nem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
• Outros avaliadores citados no registro (VulDB e cna@vuldb.com) atribuem pontuações menores, incluindo 6,3 no CVSS 3.1, portanto a classificação de severidade varia conforme a fonte.
• Uma injeção de comando bem-sucedida em um dispositivo de rede normalmente permitiria executar comandos do sistema operacional no contexto do equipamento; o alcance exato depende da configuração e não é detalhado no registro.

Produtos e versões afetadas

• Tenda AC1206, versão 15.03.06.23.
• Tenda Ac1206 Firmware, versão 15.03.06.23.
• O registro não lista outras faixas de versão. Não há confirmação, nas fontes disponíveis, sobre versões anteriores ou posteriores a 15.03.06.23.

Status de exploração

• O catálogo KEV da CISA não inclui esta CVE, portanto não há exploração ativa confirmada registrada no KEV.
• A descrição afirma que o exploit foi divulgado publicamente e pode ser utilizado. O registro também contém uma referência de terceiros marcada como exploit, e o valor SSVC de exploração é poc (prova de conceito).
• Não aparece, nas fontes consultadas, exploração confirmada na natureza.
• A probabilidade EPSS é 0,09413 (percentil 0,95412), o que indica probabilidade prevista elevada em relação a outras CVEs, com data de cálculo informada como 2026-10-23.

Correção e mitigação

• O registro não lista versão corrigida nem correção oficial do fornecedor. A ausência de correção listada não confirma que ela não exista; verifique o site e os canais de suporte do fabricante para atualizações de firmware.
• Enquanto uma atualização não for verificada, reduza a exposição: restrinja o acesso à interface web de administração do roteador, evite expô-la à internet e mantenha o acesso administrativo em redes confiáveis ou por VPN.
• Avalie se o dispositivo ainda possui suporte do fabricante e planeje a substituição caso não haja firmware corrigido.
• Altere credenciais administrativas padrão e desative a administração remota quando ela não for necessária.

Orientações de detecção

• Revise os logs do servidor web e do equipamento em busca de requisições incomuns ao caminho /goform/BehaviorManager, especialmente de origens inesperadas.
• Monitore alterações de configuração inesperadas, novos processos ou conexões de saída incomuns a partir do dispositivo, quando a plataforma permitir.
• Aplique monitoramento de rede nas interfaces de gestão e gere alertas para acessos fora das faixas administrativas aprovadas.

Limitações das informações disponíveis

• O registro não inclui aviso do fornecedor nem versão de firmware corrigida.
• A pontuação da NVD (9,8) difere das pontuações da VulDB (por exemplo 6,3 e 5,3 em versões diferentes do CVSS), e os motivos das diferenças não são explicados.
• Além do vetor remoto informado, o registro não descreve as condições exatas para exploração nem quais builds de firmware diferentes de 15.03.06.23 são afetados.
• A data do EPSS é posterior à data de publicação, portanto o valor deve ser reconferido em uma fonte atualizada.

Perguntas frequentes

O que é a CVE-2026-0581?

É uma vulnerabilidade de injeção de comando (CWE-77) na função formBehaviorManager do componente httpd do Tenda AC1206 versão 15.03.06.23, acessível pelo caminho /goform/BehaviorManager.

Pode ser explorada remotamente?

O registro informa que o ataque pode ser feito remotamente, e o vetor CVSS 3.1 da NVD reflete um vetor de rede sem necessidade de privilégios ou interação do usuário.

Existe correção disponível?

O registro não lista versão corrigida nem correção do fabricante. Consulte os canais de suporte do fabricante, pois a ausência de correção listada não comprova que ela não exista.

A falha está sendo explorada na natureza?

Ela não consta no catálogo KEV da CISA e não há exploração confirmada na natureza nas fontes consultadas. A descrição informa que um exploit foi divulgado publicamente.

O que os administradores devem fazer agora?

Restringir o acesso à interface de administração, evitar exposição à internet, alterar credenciais padrão, monitorar requisições ao caminho afetado e planejar a substituição se não houver firmware com suporte.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.