CVE-2026-5526: Controle de acesso inadequado no httpd do Tenda 4G03 Pro

Visão geral

O CVE-2026-5526 é um problema de controle de acesso inadequado (CWE-266) no binário httpd (/bin/httpd) do roteador Tenda 4G03 Pro. O registro foi publicado em 04/04/2026 e atribuído pela VulDB. A descrição cita uma funcionalidade não especificada do httpd e não explica a causa técnica raiz.

Impacto

O registro descreve controles de acesso inadequados que podem ser alcançados remotamente.
A pontuação base CVSS 3.1 do NVD é 9.8 (crítica), com vetor de rede, baixa complexidade, sem privilégios e sem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
As pontuações da VulDB no registro são menores (6.9 e 5.5 na versão 4.0 e 7.3 na versão 3.1 em suas próprias entradas), portanto a gravidade depende da fonte de pontuação.
As consequências reais de uma exploração não são descritas nas fontes consultadas e devem ser tratadas como desconhecidas.

Produtos e versões afetados

A entrada do produto lista o Tenda 4G03 Pro com muitas strings de versão, e uma entrada separada de firmware lista a versão 04.03.01.53.
A descrição limita o escopo afetado às versões até 1.0/1.1/04.03.01.53/192.168.0.1.
O registro não informa versão corrigida, portanto a situação de firmwares mais recentes é desconhecida.
Os operadores devem confirmar a build exata de firmware de cada dispositivo com as notas de versão atuais do fabricante, disponíveis em Tenda.

Status de exploração

A descrição afirma que um exploit foi divulgado publicamente e pode ser usado em ataques.
O CVE não consta no catálogo KEV da CISA, e os dados SSVC do registro indicam exploração como nenhuma.
Nenhuma exploração ativa confirmada na natureza aparece nas fontes consultadas.
O EPSS indica probabilidade de cerca de 0.00645 (percentil cerca de 0.50297), que é uma estimativa estatística e não evidência de exploração.

Correção e mitigação

O registro não lista correção do fabricante. Verifique o site do fabricante em busca de atualizações de firmware e aplique a atualização que tratar o problema assim que for confirmada.
Enquanto a correção não for verificada, restrinja o acesso à interface de gerenciamento do dispositivo, evite expô-lo à internet e posicione-o atrás de firewall ou VPN.
Substitua dispositivos sem suporte quando o fabricante não fornecer mais atualizações.

Orientações de detecção

Revise logs do dispositivo e do perímetro em busca de acessos inesperados à interface de gerenciamento, especialmente de endereços externos.
Monitore alterações de configuração ou novas contas administrativas não autorizadas.
Faça o inventário de todas as unidades Tenda 4G03 Pro e suas builds de firmware para localizar dispositivos expostos ou desatualizados.

Limitações das informações disponíveis

O registro não identifica a função vulnerável, o caminho da requisição nem a verificação de controle de acesso que falha.
Nenhuma versão corrigida, aviso do fabricante ou patch está vinculado ao registro.
As pontuações diferem entre NVD e VulDB e entre versões do CVSS.
A lista de versões afetadas do registro é ampla e inclui entradas que podem não ser vulneráveis; a faixa da descrição é a afirmação mais específica.

Perguntas frequentes

O CVE-2026-5526 está sendo explorado ativamente?

O CVE não consta no catálogo KEV da CISA e os dados SSVC do registro indicam nenhuma exploração. A descrição afirma que existe um exploit público, mas nenhuma exploração ativa confirmada aparece nas fontes consultadas.

Existe versão corrigida para esta vulnerabilidade?

O registro não informa nenhuma versão corrigida. Consulte as versões de firmware atuais do fabricante e aplique a atualização quando ela for confirmada como solução.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.