CVE-2026-25070: Injeção de Comando do Sistema Operacional no PingTestSet do XikeStor SKS8310-8X

Visão geral

A CVE-2026-25070 está registrada como uma fraqueza de injeção de comando do sistema operacional (CWE-78) no endpoint /goform/PingTestSet do firmware do switch de rede XikeStor SKS8310-8X. O registro descreve versões até a 1.04.B07 inclusive. O registro de origem está disponível na entrada da NVD e no registro da CVE.org.

Impacto

O registro informa que a falha pode ser acionada sem autenticação e pode levar à execução de comandos arbitrários do sistema operacional com privilégios de root no switch. Um switch comprometido pode permitir que um atacante altere o comportamento da rede, intercepte ou redirecione tráfego ou use o equipamento como ponto de apoio dentro da rede. Essas consequências são inferidas do nível de privilégio informado e não são descritas nas fontes.

Produtos e versões afetadas

• Anhui Seeker Electronic Technology Co., LTD. XikeStor SKS8310-8X, até a versão 1.04.B07 inclusive.
• Seekswan Zikestor Sks8310-8x Firmware, até a versão 1.04.B07 inclusive.

A variante em minúsculas 1.04.b07 também aparece no registro para a segunda entrada de produto.

Status de exploração

O catálogo KEV da CISA não lista esta CVE no registro, portanto não há exploração ativa confirmada aqui. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,03052, com percentil de 0,87488, e o campo de exploração SSVC está registrado como none. Esses valores descrevem probabilidade prevista, não ataques observados.

Correção e mitigação

O registro não lista versão corrigida. Isso não significa que não exista correção. Os operadores devem verificar com o fabricante ou distribuidor se há atualização de firmware para o SKS8310-8X e aplicar qualquer atualização que trate este problema. Até que uma correção seja confirmada, considere restringir o acesso à interface de gerenciamento do switch a redes administrativas confiáveis, colocá-lo atrás de segmentação ou de uma VLAN de gerenciamento e desativar o gerenciamento web remoto quando o equipamento permitir.

Orientações de detecção

• Revise os logs de gerenciamento web em busca de requisições ao caminho /goform/PingTestSet vindas de origens inesperadas.
• Procure alterações de configuração não explicadas, novas contas ou conexões de saída incomuns originadas do switch.
• Monitore reinicializações inesperadas ou mudanças na versão do firmware.
• Trate qualquer acesso de gerenciamento não reconhecido como possível incidente e verifique o estado do equipamento.

Limitações das informações disponíveis

O registro não inclui aviso do fabricante, versão de firmware corrigida, referência de prova de conceito nem detalhes de como a falha é explorada. As pontuações CVSS 4.0 da VulnCheck aparecem como 9,3 no registro, enquanto a NVD fornece CVSS 3.1 de 9,8. Não é possível saber a partir do registro se o equipamento está exposto à internet ou se a interface de gerenciamento vem habilitada por padrão.

Perguntas frequentes

O que é a CVE-2026-25070?

É uma vulnerabilidade de injeção de comando do sistema operacional no endpoint /goform/PingTestSet do firmware do switch XikeStor SKS8310-8X, segundo o registro.

Existe correção disponível?

O registro não lista versão corrigida. Isso não significa que não exista correção, por isso verifique com o fabricante ou distribuidor se há atualização de firmware.

Esta CVE é conhecida como explorada ativamente?

Não. O registro mostra que ela não está no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.