CVE-2026-108804: Injeção de comandos no pigwidgeon.cgi dos TRENDnet TEW-751DR/752DRU/733GR

Visão geral

A CVE-2026-108804 é uma vulnerabilidade de injeção de comandos do sistema operacional (CWE-77) no backend de gerenciamento web de vários roteadores TRENDnet. De acordo com o registro, a falha está na função fwrite do arquivo pigwidgeon.cgi, onde o argumento service não é tratado de forma segura, permitindo a injeção de comandos do sistema operacional.

Os dispositivos afetados são os TRENDnet TEW-751DR, TEW-752DRU e TEW733GR com firmware 1.03B01 e 1.03B03. A vulnerabilidade foi atribuída pela VulDB e possui pontuação base máxima CVSS 3.1 de 10.0.

Impacto

A exploração bem-sucedida permite que um atacante remoto execute comandos arbitrários do sistema operacional no dispositivo afetado, sem autenticação ou interação do usuário. O vetor CVSS (AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H) indica acesso pela rede, baixa complexidade, nenhum privilégio necessário, mudança de escopo e alto impacto à confidencialidade, integridade e disponibilidade. Na prática, esse nível de acesso pode levar ao comprometimento total do dispositivo.

Produtos e versões afetados

TRENDnet TEW-751DR — firmware 1.03B01 e 1.03B03
TRENDnet TEW-752DRU — firmware 1.03B01 e 1.03B03
TRENDnet TEW733GR — firmware 1.03B01 e 1.03B03

O fornecedor afirma que esses produtos chegaram ao fim de vida (EOL em 2011, conforme a declaração citada) e não são mais suportados, o que significa que testes e correções oficiais não estão disponíveis.

Status de exploração

O registro indica que existe um exploit público que pode ser utilizado. No entanto, esta vulnerabilidade não consta no catálogo de Vulnerabilidades Exploradas Conhecidas (KEV) da CISA, e nenhuma exploração confirmada em ambiente real aparece nas fontes consultadas. O índice EPSS para esta CVE era de aproximadamente 0,024 (em torno do percentil 83) em 2026-10-13, o que estima a probabilidade de atividade de exploração, mas não é evidência dela.

Correção e mitigação

Nenhuma versão corrigida oficial consta no registro, e o fornecedor indica que os produtos estão em fim de vida e sem suporte. Diante disso, as medidas defensivas focam em reduzir a exposição:

Trate esses dispositivos como não suportados e planeje a substituição por hardware atualmente suportado.
Garanta que a interface de gerenciamento web nunca fique exposta à internet ou a redes não confiáveis.
Restrinja o acesso de gerenciamento a hosts administrativos confiáveis e segmente os dispositivos em redes isoladas.
Desative recursos de administração remota sempre que possível.

Orientações de detecção

Monitore acessos inesperados ou não autorizados à interface de gerenciamento web do dispositivo, em especial requisições envolvendo o pigwidgeon.cgi.
Observe conexões de saída anômalas ou atividade de processos incomum que possam indicar execução de comandos no dispositivo.
Revise logs de rede em busca de acessos de gerenciamento a partir de endereços de origem inesperados.

Limitações das informações disponíveis

As fontes disponíveis são principalmente o registro da VulDB e referências de exploit de terceiros. Não há patch do fornecedor, versão corrigida de firmware ou listagem na CISA KEV. A descrição não detalha o contexto exato de autenticação além do vetor CVSS indicar que nenhum privilégio é necessário, e nenhuma confirmação independente de exploração em ambiente real é fornecida nas fontes consultadas.

Perguntas frequentes

O que é a CVE-2026-108804?

É uma vulnerabilidade crítica de injeção de comandos do sistema (CWE-77) na função fwrite do pigwidgeon.cgi, no backend de gerenciamento web dos roteadores TRENDnet TEW-751DR, TEW-752DRU e TEW733GR com firmware 1.03B01/1.03B03. Pode ser explorada remotamente pelo argumento service.

Existe correção disponível?

Nenhuma versão corrigida consta no registro. O fornecedor afirma que esses produtos estão em fim de vida e sem suporte, portanto não se espera patch oficial. A recomendação é substituir os dispositivos por hardware suportado.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que existe um exploit público, mas a vulnerabilidade não consta no catálogo KEV da CISA e nenhuma exploração confirmada em ambiente real aparece nas fontes consultadas.

Qual é a gravidade?

A VulDB atribuiu pontuação base CVSS 3.1 de 10.0 (crítica), refletindo exploração remota, sem autenticação, com alto impacto à confidencialidade, integridade e disponibilidade.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.