CVE-2026-50208: Acer Connect M6E 5G: validação permissiva de certificados TLS
Produtos Acer Connect M6E 5G são afetados por rotinas TrustAllCerts que desativam a validação padrão de certificados TLS, combinadas com chaves DES fixas (hard-coded). De acordo com o registro, um atacante do tipo Man-in-the-Middle poderia descriptografar o tráfego de rede. O fornecedor indica uma mitigação, mas o registro não identifica uma versão corrigida.
Visão geral
A CVE-2026-50208 descreve rotinas TrustAllCerts em produtos Acer Connect M6E 5G que desativam a validação padrão de certificados TLS. O registro também informa chaves de criptografia simétrica DES fixas (hard-coded). O CNA é a Acer e o registro foi analisado pela NVD.
Impacto
O registro afirma que um agente do tipo Man-in-the-Middle poderia descriptografar o tráfego de rede. Desativar a validação de certificados enfraquece a garantia de que a conexão foi estabelecida com o servidor pretendido, e chaves DES fixas eliminam o sigilo que a criptografia deveria oferecer. A NVD atribui pontuação CVSS base 9.4, classificada como crítica, enquanto o registro lista duas pontuações 9.2 de outro provedor.
Produtos afetados e versões
- Acer Connect M6E 5G Firmware, até e incluindo 00.000019
- Acer Connect M6E 5G Portable WiFi Router, até e incluindo 00.000019
O registro informa a faixa afetada como até e incluindo a versão indicada acima. Não há versão corrigida informada.
Situação de exploração
O registro não lista esta CVE no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS é 0.00236 (percentil 0.13843), e o valor SSVC de exploração é none, com automatizável igual a no.
Correção e mitigação
O registro aponta para um artigo de mitigação do fornecedor Acer. Administradores devem revisar esse artigo, seguir as orientações do fornecedor para os dispositivos afetados e verificar atualizações de firmware pelos canais oficiais da Acer. Como o registro não identifica versão corrigida, confirme o nível atual do firmware e o status junto ao fornecedor antes de considerar um equipamento protegido.
- Restrinja o acesso administrativo ao dispositivo e limite a exposição da interface de gerenciamento do roteador.
- Evite usar esses equipamentos para proteger tráfego sensível em redes não confiáveis até que a orientação do fornecedor seja aplicada.
- Considere substituir os equipamentos afetados caso o fornecedor não disponibilize correção.
Orientações de detecção
Em nível geral, revise inventários dos modelos e níveis de firmware afetados. Monitore alterações inesperadas de firmware, configuração ou comportamento de rede nesses equipamentos. Equipes de rede também podem observar sessões TLS originadas desses dispositivos que apresentem certificados inesperados ou ausência do comportamento normal de validação.
Limitações das informações disponíveis
O registro não descreve os caminhos de código exatos, as condições necessárias para a interceptação nem as revisões de hardware afetadas além dos produtos listados. Não há versão corrigida informada, e o conteúdo do artigo do fornecedor não fez parte do registro. O CWE atribuído no registro é o CWE-330, relacionado a valores insuficientemente aleatórios, portanto a classificação pode não refletir totalmente o problema de validação TLS descrito; trata-se de uma inferência.
Perguntas frequentes
O que a CVE-2026-50208 afeta?
O registro lista o Acer Connect M6E 5G Firmware e o Acer Connect M6E 5G Portable WiFi Router, até e incluindo 00.000019.
Existe versão corrigida disponível?
O registro não identifica versão corrigida. Ele aponta um artigo de mitigação da Acer, então consulte esse artigo e os canais oficiais da Acer para orientações atualizadas.
Há registro de exploração conhecida?
O registro não lista a vulnerabilidade no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.