CVE-2026-38716: Roteadores InHand Networks IR912 e IR915: injeção de comandos na exportação de apps Python
A CVE-2026-38716 é uma falha crítica de injeção de comandos (CWE-77) na função de exportação de aplicações Python dos roteadores industriais InHand Networks IR912 e IR915. Um atacante remoto pode executar comandos arbitrários como root por meio de entrada manipulada. A nota CVSS 3.1 é 9.8, e as fontes consultadas não registram exploração confirmada.
Visão geral
A CVE-2026-38716 é uma vulnerabilidade de injeção de comandos (CWE-77) na função de exportação de aplicações Python dos roteadores InHand Networks IR912 e IR915. Segundo o registro, o firmware V1.0.0.r20042 e versões anteriores são afetados. Uma entrada manipulada processada por essa função pode levar à execução de comandos arbitrários do sistema operacional com privilégios de root. O fabricante publicou um boletim de segurança: InHand PSA-2026-06.
Impacto
A nota base CVSS 3.1 é 9.8 (Crítica), com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Isso indica uma falha acessível pela rede, de baixa complexidade, sem necessidade de privilégios nem de interação do usuário. A exploração bem-sucedida resulta em execução de comandos como root, ou seja, comprometimento total da confidencialidade, integridade e disponibilidade do equipamento. Por se tratar de roteadores celulares industriais, um dispositivo comprometido poderia ser usado para interceptar ou alterar tráfego, servir de ponto de entrada para redes OT ou corporativas conectadas, ou interromper a conectividade.
Produtos e versões afetados
- Firmware do InHand Networks IR912 V1.0.0.r20042 e anteriores (o NVD lista o Ir912l-fq58 Firmware abaixo de 1.0.0.r20044)
- Firmware do InHand Networks IR915 V1.0.0.r20042 e anteriores (o NVD lista o Ir915l-fq39-s Firmware abaixo de 1.0.0.r20044)
Os limites de configuração do NVD sugerem que o firmware 1.0.0.r20044 seria a primeira versão não afetada, mas o registro não informa explicitamente uma versão corrigida. Confirme a versão corrigida no boletim do fabricante.
Status de exploração
A vulnerabilidade não consta no catálogo Known Exploited Vulnerabilities da CISA, e as fontes consultadas não registram exploração confirmada. Não há pontuação EPSS no registro. Dada a criticidade e o vetor de rede sem autenticação, dispositivos expostos devem ser tratados com alta prioridade.
Correção e mitigação
- Consulte o boletim do fabricante e atualize para o firmware indicado como corrigido (os dados do NVD apontam para versões a partir de 1.0.0.r20044).
- Não exponha as interfaces de gerenciamento à internet; restrinja o acesso a redes de gerenciamento confiáveis ou VPN.
- Desative o recurso de aplicações Python se não for necessário, quando o equipamento permitir.
- Segmente os roteadores industriais em relação a ativos sensíveis de OT e TI para limitar movimentação lateral.
- Troque credenciais e revise configurações de dispositivos que ficaram expostos antes da atualização.
Orientações de detecção
- Faça o inventário dos dispositivos InHand IR912 e IR915 e registre as versões de firmware.
- Analise logs do equipamento e da gerência em busca de uso inesperado da função de exportação de aplicações Python, especialmente a partir de origens desconhecidas.
- Monitore conexões de saída anômalas, novos processos, alterações de configuração ou reinicializações inesperadas nos roteadores.
- Use monitoramento de rede para sinalizar acessos ao plano de gerenciamento vindos de redes não confiáveis.
Limitações das informações disponíveis
O registro não traz detalhes técnicos sobre o parâmetro vulnerável, versão corrigida explícita, pontuação EPSS ou avaliação SSVC. Não está claro se a função de exportação é acessível sem autenticação em todas as configurações, embora o vetor CVSS indique que não são necessários privilégios. A nomenclatura difere entre a descrição (IR912/IR915) e as configurações do NVD (modelos específicos IR912L/IR915L); outras variantes podem ser afetadas, mas isso não está confirmado.
Perguntas frequentes
O que é a CVE-2026-38716?
Uma vulnerabilidade de injeção de comandos na função de exportação de aplicações Python dos roteadores InHand Networks IR912 e IR915, que permite a atacantes remotos executar comandos arbitrários como root.
Quais versões de firmware são afetadas?
V1.0.0.r20042 e anteriores, segundo a descrição; o NVD lista os firmwares IR912L-FQ58 e IR915L-FQ39-S abaixo de 1.0.0.r20044 como afetados.
Ela está sendo explorada?
Não consta no catálogo KEV da CISA, e as fontes consultadas não registram exploração confirmada.
Como corrigir?
Aplique o firmware corrigido indicado no boletim PSA-2026-06 da InHand e restrinja o acesso de rede às interfaces de gerenciamento.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.