CVE-2026-49200: Roteador Acer Wave 7: Controle de Acesso Quebrado

Visão geral

O firmware do roteador Acer Wave 7 torna um arquivo chamado acer_cgi.log acessível pela interface web sem exigir autenticação. O registro afirma que esse arquivo contém credenciais de login em texto claro para os serviços web e Telnet, o que pode levar a acesso não autorizado ao sistema. A fraqueza é classificada como CWE-532, inserção de informações sensíveis em arquivo de log, enquanto o título a apresenta como controle de acesso quebrado.

Impacto

Exposição de credenciais em texto claro para acesso web e Telnet, conforme descrito no registro.
Possível acesso não autorizado ao dispositivo, associado pelo registro às credenciais expostas.
A pontuação base da NVD é 9,8 (crítica), e o vetor da NVD indica impacto alto em confidencialidade, integridade e disponibilidade.
O registro não descreve consequências além do acesso não autorizado ao sistema.

Produtos e versões afetadas

O registro lista duas entradas de produto. A entrada Acer Wave 7 Firmware cobre versões até a 01.000055, inclusive. A entrada Acer Wave 7 router cobre versões a partir de 01.000055. As duas entradas compartilham o mesmo build de fronteira, o que parece contraditório; esta é uma inferência, e a faixa exata afetada deve ser confirmada no aviso do fabricante.

Status de exploração

O registro indica que esta vulnerabilidade não consta no catálogo KEV da CISA e que o valor de exploração no SSVC é none. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro marca o problema como automatizável, o que é um sinal para priorização e não evidência de ataques. A probabilidade EPSS é 0,00615, com percentil de 0,48822, conforme datado no registro.

Correção e mitigação

Consulte o aviso do fabricante Acer e aplique a atualização de firmware recomendada para o seu modelo.
O registro não traz versão corrigida. Isso não significa que não exista correção, por isso confirme a situação com o fabricante.
Restrinja o acesso às interfaces web e Telnet do dispositivo apenas a redes administrativas confiáveis.
Troque quaisquer credenciais que possam ter sido armazenadas ou expostas em dispositivos afetados, e desative o Telnet se ele não for necessário.

Orientações de detecção

Revise os logs do dispositivo e da rede em busca de acessos inesperados à interface web vindos de origens não confiáveis.
Monitore sessões Telnet inesperadas direcionadas ao dispositivo.
Faça o inventário dos dispositivos Acer Wave 7 e registre os builds de firmware para identificar os que estão na faixa afetada.

Limitações das informações disponíveis

O registro não informa versão corrigida, e as fronteiras de versão afetadas se sobrepõem e precisam de confirmação do fabricante.
O registro não descreve o caminho de acesso exato, os detalhes de autenticação nem o escopo completo da exposição.
A CWE indica exposição de informações por meio de logs, enquanto o título fala em controle de acesso quebrado; o registro não explica essa diferença.
A data do EPSS no registro é posterior à data de publicação, por isso o momento do valor EPSS deve ser interpretado com cautela.

Perguntas frequentes

Qual é o principal risco do CVE-2026-49200?

Segundo o registro, o arquivo acer_cgi.log pode ser lido sem autenticação e contém credenciais web e Telnet em texto claro, o que pode levar a acesso não autorizado ao sistema.

Esta vulnerabilidade está sendo explorada na prática?

O registro indica que ela não consta no catálogo KEV da CISA e nenhuma exploração confirmada aparece nas fontes consultadas.

Quais versões são afetadas?

O registro lista versões até a 01.000055, inclusive, para o firmware, e a partir de 01.000055 para o roteador. Essas fronteiras sobrepostas devem ser confirmadas no aviso do fabricante.

O que os administradores devem fazer agora?

Consultem o aviso da Acer, apliquem a atualização recomendada pelo fabricante, restrinjam o acesso web e Telnet a redes confiáveis e troquem credenciais eventualmente expostas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.