CVE-2026-9404: Totolink A8000RU: Injeção de Comando de SO na Função setDdnsCfg da Interface Web

Visão geral

Foi relatada uma fraqueza de injeção de comando (CWE-77) na interface de gerenciamento web do Totolink A8000RU, versão 7.1cu.643_b20200521. O problema está na função setDdnsCfg acessada pelo arquivo /cgi-bin/cstecgi.cgi, onde o argumento provider é tratado de forma insegura. O registro informa que o ataque pode ser realizado remotamente. Os detalhes técnicos constam na entrada da VulDB.

Impacto

Uma exploração bem-sucedida poderia permitir que um atacante execute comandos do sistema operacional no dispositivo afetado.
A pontuação CVSS 3.1 base fornecida pelo CNA é 9,8 (Crítica), com alto impacto em confidencialidade, integridade e disponibilidade no vetor.
Também constam pontuações CVSS 4.0 de 9,3 (VulDB) e 8,9 (CNA).

Produtos e versões afetadas

O registro lista um produto e versão afetados: Totolink A8000RU, versão 7.1cu.643_b20200521.
Não há versão corrigida listada. Isso não confirma que não exista correção; o site do fabricante aparece como referência do produto.

Status de exploração

O registro informa que um exploit público está disponível e pode ser utilizado.
Esta CVE não consta no catálogo KEV da CISA, portanto não há exploração ativa confirmada nas fontes consultadas.
O valor de exploração no SSVC é poc, indicando atividade em nível de prova de conceito.
A probabilidade EPSS é 0,03253, com percentil de 0,88051.

Correção e mitigação

Identifique se há dispositivos A8000RU implantados com o firmware afetado e consulte o site do fabricante em busca de uma versão atualizada.
Restrinja o acesso à interface de gerenciamento web: não a exponha à internet, limite-a a redes internas confiáveis ou VPN e desative a administração remota quando não for necessária.
Caso não haja correção confirmada pelo fabricante, considere isolar os dispositivos afetados e revisar regularmente sua configuração e exposição.

Orientações de detecção

Analise os logs do servidor web e do dispositivo em busca de requisições inesperadas ao endpoint CGI de gerenciamento, especialmente de origens desconhecidas ou externas.
Monitore conexões de saída inesperadas, novos processos ou alterações nas configurações de DNS dinâmico do dispositivo.
Gere alertas para atividades administrativas fora das janelas de manutenção conhecidas.

Limitações das informações disponíveis

O registro não informa uma versão de firmware corrigida nem um aviso oficial do fabricante.
As pontuações CVSS 3.1 e 4.0 vêm de fornecedores diferentes, e o registro não explica as diferenças.
O registro não informa se outras versões de firmware ou modelos de dispositivo são afetados.
Não é possível saber, a partir das fontes fornecidas, se o fabricante reconheceu ou corrigiu o problema.

Perguntas frequentes

Esta vulnerabilidade do Totolink A8000RU está sendo explorada ativamente?

Esta CVE não consta no catálogo KEV da CISA e nenhuma exploração ativa confirmada aparece nas fontes consultadas. O registro informa, porém, que um exploit público está disponível e pode ser utilizado.

Quais versões são afetadas?

O registro lista apenas o Totolink A8000RU na versão 7.1cu.643_b20200521. Outras versões de firmware não são tratadas nas informações disponíveis.

O que os administradores devem fazer agora?

Restrinja o acesso à interface de gerenciamento web, evite expô-la à internet, consulte o site do fabricante em busca de firmware atualizado e monitore os dispositivos enquanto não houver correção confirmada.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.