CVE-2026-38714: Roteadores InHand Networks IR912/IR915: injeção de comandos na função de configuração Python

Visão geral

A CVE-2026-38714 afeta os roteadores InHand Networks IR912 e IR915. Segundo o registro, o firmware V1.0.0.r20042 e anteriores contém uma falha de injeção de comandos (CWE-77) na função de configuração Python do equipamento. Uma entrada manipulada enviada a essa função pode levar à execução arbitrária de comandos com privilégios de root. O fabricante publicou um boletim de segurança sobre o problema: InHand PSA-2026-06.

Impacto

O NVD atribui nota base 9.8 (crítica), com vetor de ataque pela rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Uma exploração bem-sucedida daria ao atacante controle total do roteador, permitindo interceptar tráfego, alterar configurações, manter persistência ou usar o dispositivo como ponto de entrada para as redes conectadas, algo particularmente sensível em ambientes industriais e sites remotos.

Produtos e versões afetados

IR912 (CPE no NVD: Ir912l-fq58 Firmware): versões anteriores a 1.0.0.r20044
IR915 (CPE no NVD: Ir915l-fq39-s Firmware): versões anteriores a 1.0.0.r20044

A descrição cita explicitamente V1.0.0.r20042 e anteriores como vulneráveis. A faixa do NVD sugere que 1.0.0.r20044 é a primeira versão não afetada, mas o registro não lista uma correção de forma explícita; confirme no boletim do fabricante.

Status de exploração

A CVE não consta no catálogo Known Exploited Vulnerabilities da CISA, e não há exploração confirmada nas fontes consultadas. O registro não traz pontuação EPSS. Considerando que as métricas CVSS indicam ataque remoto sem autenticação, dispositivos expostos devem ser tratados com alta prioridade.

Correção e mitigação

Consulte o boletim do fabricante e atualize para o firmware recomendado; pelos dados do NVD, builds a partir de 1.0.0.r20044 ficam fora da faixa afetada.
Não exponha as interfaces de gerenciamento do roteador à internet; restrinja o acesso a redes de gerência confiáveis ou VPNs.
Aplique regras de firewall ou ACLs limitando quem alcança os serviços de configuração.
Após a atualização, revise a configuração e as credenciais do equipamento em busca de alterações indevidas e troque as credenciais se houver suspeita de comprometimento.

Orientações de detecção

Faça o inventário dos dispositivos InHand IR912/IR915 e registre as versões de firmware.
Monitore os logs de acesso em busca de requisições de gerência ou configuração vindas de origens inesperadas.
Fique atento a mudanças de configuração inesperadas, novas contas, conexões de saída incomuns ou reinicializações dos roteadores.
Use monitoramento de rede para sinalizar tráfego de gerência vindo de segmentos não confiáveis.

Limitações das informações disponíveis

O registro não informa qual interface ou serviço expõe a função de configuração Python, nem se há exigência prática de autenticação além do indicado pelo vetor CVSS. Não há versão corrigida explícita nos dados de correção, não há dados de EPSS ou SSVC, e a nomenclatura dos modelos difere entre a descrição e a configuração do NVD.

Perguntas frequentes

Quais dispositivos são afetados pela CVE-2026-38714?

Roteadores InHand Networks IR912 e IR915 com V1.0.0.r20042 e anteriores; o NVD lista firmware anterior a 1.0.0.r20044 como afetado.

A CVE-2026-38714 está sendo explorada ativamente?

Ela não consta no KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Como corrigir?

Siga o boletim InHand PSA-2026-06 para atualizar o firmware e restrinja o acesso às interfaces de gerência a redes confiáveis.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.