CVE-2026-40621: Pontos de acesso LAN sem fio ELECOM: bypass de autenticação por caminho alternativo (CWE-288)
A CVE-2026-40621 afeta dispositivos de ponto de acesso LAN sem fio da ELECOM, que não exigem autenticação para acessar algumas URLs específicas, podendo ser operados sem autenticação. O CNA JPCERT/CC atribui pontuação 9,8 pelo CVSS 3.0 e 9,3 pelo CVSS 4.0. O registro não informa modelos, versões afetadas nem correções, então os administradores devem consultar diretamente o aviso do fabricante e o JVN.
Visão geral
De acordo com o registro da CVE, dispositivos de ponto de acesso LAN sem fio da ELECOM não exigem autenticação para acessar algumas URLs específicas. Por isso, o produto afetado pode ser operado sem autenticação. A fraqueza é classificada como CWE-288, Bypass de Autenticação Usando um Caminho ou Canal Alternativo.
Impacto
O CNA JPCERT/CC classifica a falha como crítica, com pontuação base 9,8 pelo CVSS 3.0 e 9,3 pelo CVSS 4.0. O vetor do CVSS 3.0 indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. Pela descrição, um atacante com alcance de rede até um dispositivo afetado poderia acessar funções que deveriam ser protegidas. As funções exatas expostas não são especificadas no registro.
Produtos e versões afetadas
O registro não lista produtos, modelos ou versões afetadas, nem versões corrigidas. Consulte o aviso do JVN e o comunicado de segurança da ELECOM para confirmar quais produtos e firmwares são impactados.
Status de exploração
O catálogo KEV da CISA não lista esta CVE no registro. Nenhuma exploração confirmada aparece nas fontes consultadas. A probabilidade EPSS registrada é 0,00722, com percentil de 0,52758, que é uma estimativa de probabilidade de exploração e não evidência de ataques.
Correção e mitigação
- Verifique o comunicado da ELECOM e o aviso do JVN para a lista de modelos afetados e eventuais atualizações de firmware, aplicando as orientações do fabricante assim que forem confirmadas para seus equipamentos.
- Inventarie todos os pontos de acesso sem fio da ELECOM, inclusive os gerenciados por terceiros, e identifique as versões de firmware.
- Restrinja o acesso às interfaces de gerenciamento a redes administrativas confiáveis e evite expô-las à internet ou a segmentos não confiáveis.
- Posicione a infraestrutura sem fio em redes segmentadas, para que um ponto de acesso comprometido tenha alcance limitado a sistemas sensíveis.
- Quando não houver correção disponível, avalie o isolamento ou a substituição dos equipamentos afetados conforme sua análise de risco.
Orientações de detecção
- Revise os logs de acesso dos pontos de acesso e consoles de gerenciamento em busca de requisições a caminhos administrativos vindas de origens inesperadas, e de alterações de configuração sem sessão autenticada correspondente.
- Monitore o tráfego de rede para a infraestrutura sem fio em busca de atividade incomum de protocolos de gerenciamento partindo de clientes que não deveriam administrar esses equipamentos.
- Compare as configurações dos dispositivos com linhas de base conhecidas para identificar alterações não autorizadas.
Limitações das informações disponíveis
O registro não identifica as URLs específicas, os modelos afetados, as versões de firmware nem as versões corrigidas. Também não informa se existe uma solução alternativa além das medidas gerais acima. A data do EPSS no registro é posterior à data de publicação, por isso a pontuação deve ser interpretada com cautela. Todos os detalhes técnicos devem ser verificados nos avisos do fabricante e do JVN.
Perguntas frequentes
O que é a CVE-2026-40621?
É uma falha crítica em pontos de acesso LAN sem fio da ELECOM, que não exigem autenticação para acessar algumas URLs específicas, podendo o produto ser operado sem autenticação.
Qual é a gravidade?
O JPCERT/CC, CNA responsável, atribui pontuação 9,8 pelo CVSS 3.0 e 9,3 pelo CVSS 4.0, classificando a falha como crítica.
Há exploração conhecida?
O catálogo KEV da CISA não lista a falha neste registro, e nenhuma exploração confirmada aparece nas fontes consultadas.
Quais versões são afetadas e quais são corrigidas?
O registro não informa versões afetadas nem corrigidas. Consulte o comunicado da ELECOM e o aviso do JVN para essa informação.
O que os administradores devem fazer agora?
Inventariar os equipamentos afetados, seguir as orientações do fabricante quando disponíveis, restringir o acesso administrativo a redes confiáveis e monitorar logs em busca de acessos inesperados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.