CVE-2026-7138: Injeção de comando de SO no Totolink A8000RU via setNtpCfg

Visão geral

A CVE-2026-7138 descreve uma fraqueza de injeção de comando de sistema operacional (CWE-77) na função setNtpCfg do manipulador CGI /cgi-bin/cstecgi.cgi do firmware Totolink A8000RU 7.1cu.643_b20200521. Segundo o registro, a manipulação do argumento tz leva à injeção de comando de SO, e o ataque pode ser executado remotamente. Os detalhes foram publicados pela CNA, a VulDB, na entrada da VulDB e refletidos no registro do NVD.

Impacto

O vetor CVSS 3.1 fornecido pela CNA (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) corresponde à pontuação 9.8, indicando alcance pela rede, sem privilégios e sem interação do usuário.
Uma injeção de comando bem-sucedida em um dispositivo afetado normalmente permitiria executar comandos com os privilégios do serviço web, o que poderia afetar confidencialidade, integridade e disponibilidade. Essa é uma inferência a partir do vetor e da classe CWE, não uma afirmação do registro.
O registro também lista pontuação CVSS 4.0 de 8.9 e CVSS 2.0 de 10, ambas da mesma CNA.

Produtos e versões afetadas

Produto: Totolink A8000RU, firmware 7.1cu.643_b20200521, conforme citado no registro.
A lista estruturada de afetados está vazia, portanto a faixa exata de versões afetadas além da versão citada na descrição é desconhecida.
Nenhuma versão corrigida é informada. A ausência de versão corrigida no registro não confirma que não exista correção.

Status de exploração

O registro afirma que o exploit agora está público e pode ser utilizado.
A vulnerabilidade não consta no catálogo KEV da CISA segundo o registro, portanto não há exploração ativa confirmada nem exploração in the wild nas fontes consultadas.
A entrada EPSS do registro indica probabilidade de 0.03253 e percentil de 0.88047, com data de 2026-10-13 conforme registrado.

Correção e mitigação

O registro não traz correção do fabricante nem versão de firmware corrigida. Verifique o site da Totolink e os canais de suporte do fabricante em busca de atualizações ou aviso de fim de vida útil.
Restrinja o acesso à interface web de gerenciamento do equipamento. Não o exponha à internet e limite-o a redes de gestão confiáveis.
Desative recursos de administração remota se não forem necessários.
Quando não houver atualização disponível, considere substituir o equipamento ou isolá-lo em um segmento com controles rígidos de saída.
Revise a configuração de NTP em equipamentos expostos e verifique se as definições foram alteradas sem autorização.

Orientações de detecção

Analise os logs do servidor web e do equipamento em busca de requisições incomuns ao endpoint cstecgi.cgi, sobretudo de origens inesperadas.
Monitore alterações nas configurações de sincronização de horário que não tenham sido feitas por administradores.
Procure conexões de saída ou processos inesperados originados no equipamento, o que pode indicar execução de comandos.
Acompanhe as entradas do fabricante e da VulDB para atualizações do registro.

Limitações das informações disponíveis

O registro não traz título da fonte, por isso o título usado aqui foi derivado da descrição.
A lista de produtos afetados está vazia e não há versão corrigida informada.
As pontuações vêm apenas da CNA; o registro não inclui avaliação separada do NVD ou do fabricante.
A descrição não inclui detalhes de aviso do fabricante, análise técnica da causa raiz nem qualquer declaração da Totolink.
O registro indica data EPSS posterior à data de publicação, o que deve ser verificado na fonte.

Perguntas frequentes

A CVE-2026-7138 é explorada ativamente?

O registro não lista esta CVE no catálogo KEV da CISA e não afirma exploração ativa confirmada nas fontes consultadas. Ele informa que já existe exploit público.

Quais versões são afetadas?

O registro cita o firmware Totolink A8000RU 7.1cu.643_b20200521. A lista estruturada de afetados está vazia, portanto outras versões afetadas são desconhecidas.

Existe correção?

O registro não informa versão corrigida. Verifique o site da Totolink e os canais de suporte do fabricante para atualizações.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.