CVE-2026-9386: Injeção de comando de SO no Totolink A8000RU via interface web cstecgi.cgi

Visão geral

O registro descreve uma falha de injeção de comando de sistema operacional na função setLanguageCfg da Interface de Gerenciamento Web do Totolink A8000RU, firmware 7.1cu.643_b20200521. O problema está classificado como CWE-77 e foi publicado pela VulDB como CNA. As fontes consultadas descrevem o problema como acessível remotamente.

Impacto

O vetor CVSS 3.1 registrado pela VulDB é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, correspondendo a pontuação 9,8, com alto impacto em confidencialidade, integridade e disponibilidade, sem exigência de privilégios ou interação do usuário.
Os dados SSVC do registro indicam impacto técnico total e automatizável como sim.
A injeção de comando normalmente permite executar comandos no equipamento com os privilégios do componente vulnerável. Trata-se de uma inferência, pois as fontes não descrevem o nível de privilégio resultante.

Produtos e versões afetadas

Produto: Totolink A8000RU.
Versão listada: 7.1cu.643_b20200521.
O registro não lista outras versões afetadas. Não é possível afirmar se outras builds de firmware ou modelos são afetados.

Status de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA.
O registro indica que existe exploit publicamente disponível. A exploração no SSVC está registrada como poc (prova de conceito).
Não há evidência confirmada de exploração ativa nas fontes consultadas.

Correção e mitigação

O registro não lista versão corrigida. A ausência de correção listada não significa que ela não exista, por isso consulte o site da Totolink e a entrada na VulDB para verificar atualizações.
Enquanto uma atualização do fabricante não for validada, restrinja o acesso à interface de gerenciamento web e remova a exposição a redes não confiáveis.
Onde não houver correção, planeje a substituição ou aposentadoria de equipamentos sem suporte.

Orientações de detecção

Revise os logs do servidor web e do equipamento em busca de requisições incomuns ao endpoint CGI de gerenciamento e de valores inesperados em parâmetros relacionados a idioma.
Monitore os equipamentos quanto a conexões de saída inesperadas, novos processos ou alterações de configuração.
Mantenha um inventário dos dispositivos A8000RU e de suas builds de firmware.

Limitações das informações disponíveis

O registro não contém versão corrigida nem aviso do fabricante.
Não se sabe se outros modelos ou builds de firmware da Totolink são afetados.
O registro indica probabilidade EPSS de 0,03253 e percentil de 0,88055; esses valores devem ser interpretados com cautela.
Fontes consultadas: NVD e entrada na VulDB.

Perguntas frequentes

Qual é a vulnerabilidade da CVE-2026-9386?

Trata-se de uma falha de injeção de comando de sistema operacional (CWE-77) na função setLanguageCfg da Interface de Gerenciamento Web do Totolink A8000RU, firmware 7.1cu.643_b20200521. O registro informa que o argumento lang pode ser manipulado para executar comandos no sistema.

Esta CVE está confirmada como explorada ativamente?

Não. Segundo o registro, ela não consta no catálogo KEV da CISA, e não há evidência confirmada de exploração ativa nas fontes consultadas. O registro indica que existe um exploit publicamente disponível.

Existe versão corrigida?

O registro não lista versão corrigida. Isso não prova que a correção não exista, então consulte o site do fabricante e a entrada na VulDB e restrinja o acesso à interface de gerenciamento enquanto isso.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.