CVE-2026-9388: Injeção de comandos do SO no setScheduleCfg do cstecgi.cgi do Totolink A8000RU

Visão geral

Uma fraqueza na interface de gerenciamento web do Totolink A8000RU, versão 7.1cu.643_b20200521, é classificada como injeção de comandos do sistema operacional (CWE-77). A função setScheduleCfg em /cgi-bin/cstecgi.cgi trata o argumento mode de forma que pode permitir a execução de comandos injetados no sistema. A CNA VulDB informa que o ataque pode ser iniciado remotamente.

Impacto

O vetor CVSS 3.1 publicado pela VulDB (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H) classifica os impactos de confidencialidade, integridade e disponibilidade como altos, sem exigir privilégios nem interação do usuário.
Os dados SSVC da VulDB indicam impacto técnico total e automatizável como sim.
Uma injeção de comandos bem-sucedida normalmente permite agir com os privilégios do componente vulnerável no equipamento, de modo que o impacto prático depende da configuração do dispositivo.

Produtos e versões afetados

Totolink A8000RU, versão 7.1cu.643_b20200521 (única versão listada no registro).
Nenhuma versão corrigida aparece nas fontes consultadas. Isso não comprova que não exista correção.

Status de exploração

Esta CVE não consta no catálogo KEV da CISA no registro analisado, portanto essa fonte não confirma exploração ativa.
A descrição informa que um exploit foi disponibilizado publicamente, e o SSVC registra a exploração como prova de conceito.
Não há exploração confirmada no mundo real nas fontes consultadas.

Correção e mitigação

Verifique no site da Totolink se há atualização de firmware que trate o problema, já que o registro não lista versão corrigida.
Mantenha a interface de gerenciamento web fora da internet e restrinja o acesso a redes administrativas confiáveis.
Desative o gerenciamento remoto caso ele não seja necessário.
Se nenhuma correção surgir, planeje substituir o equipamento ou isolá-lo de redes sensíveis.

Orientações de detecção

Analise os logs de acesso web em busca de requisições a /cgi-bin/cstecgi.cgi vindas de origens inesperadas ou em horários incomuns.
Se houver logs do equipamento, procure processos inesperados, alterações nas configurações de agendamento ou conexões de saída incomuns.
A página CTI da VulDB indica uma tag de assinatura, o que pode ajudar equipes a verificar atividade relacionada em suas ferramentas.

Limitações das informações disponíveis

O registro não lista aviso do fabricante nem versão corrigida.
Não se sabe se outras versões de firmware da Totolink são afetadas.
As pontuações CVSS 4.0 diferem entre fornecedores (9.3 da VulDB e 8.9 da CNA), por isso a severidade nessa versão deve ser interpretada com cautela.
A existência de exploit público é informada, mas o registro não mostra o alcance de seu uso.

Perguntas frequentes

O que é a CVE-2026-9388?

É uma fraqueza de injeção de comandos do sistema operacional na função setScheduleCfg de /cgi-bin/cstecgi.cgi, na interface de gerenciamento web do firmware 7.1cu.643_b20200521 do Totolink A8000RU, segundo a VulDB.

Pode ser explorada remotamente?

A descrição da VulDB informa que o ataque pode ser iniciado remotamente, e o vetor CVSS 3.1 indica vetor de rede, sem privilégios e sem interação do usuário.

Existe correção?

O registro não lista versão corrigida nem aviso do fabricante. Verifique o site da Totolink, e trate a ausência de correção listada como desconhecida, não como prova de que não existe.

Há exploração ativa conhecida?

A CVE não consta no KEV da CISA no registro, e não há exploração confirmada no mundo real nas fontes consultadas. A descrição informa que existe exploit público.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.