CVE-2026-9406: Totolink A8000RU: injeção de comando do SO em setRemoteCfg (cstecgi.cgi)
A CVE-2026-9406 é uma fragilidade de injeção de comando do sistema operacional (CWE-77) na interface de gerenciamento web do Totolink A8000RU, versão 7.1cu.643_b20200521. O registro a descreve como explorável remotamente, com pontuação base CVSS 3.1 de 9.8 atribuída pela VulDB, e informa que um exploit foi disponibilizado publicamente. Nenhuma correção do fabricante aparece nas fontes consultadas, por isso dispositivos afetados precisam de endurecimento e isolamento provisórios.
Visão geral
O registro descreve uma fragilidade na interface de gerenciamento web do roteador Totolink A8000RU, na versão de firmware 7.1cu.643_b20200521. A função afetada é a setRemoteCfg, acessada por meio de /cgi-bin/cstecgi.cgi. Segundo o registro, a manipulação do argumento enable pode levar a injeção de comando do sistema operacional (CWE-77). A fonte é a VulDB, listada na entrada da VulDB e no registro do NVD.
Impacto
- O registro classifica o impacto técnico como total, e o vetor CVSS 3.1 indica alto impacto em confidencialidade, integridade e disponibilidade, sem necessidade de privilégios ou interação do usuário.
- Uma injeção de comando bem-sucedida em um dispositivo de rede normalmente permitiria executar comandos com os privilégios do serviço vulnerável. O nível exato de privilégio neste dispositivo é desconhecido a partir do registro.
- As pontuações CVSS 4.0 do registro (9.3 da VulDB e 8.9 do CNA) indicam uma classificação igualmente severa pelo método mais recente.
Produtos e versões afetadas
- Totolink A8000RU, versão 7.1cu.643_b20200521, é a única versão listada no registro.
- O registro não fornece intervalo de versões afetadas nem informações sobre outras builds de firmware ou revisões de hardware.
- Nenhuma versão corrigida é listada no registro. Isso não significa que não exista correção; significa que as fontes consultadas não a fornecem.
Status de exploração
O registro informa que um exploit foi disponibilizado publicamente e poderia ser usado em ataques. A marcação KEV da CISA para esta CVE é falsa, portanto as fontes consultadas não relatam exploração ativa confirmada. Os dados SSVC do registro indicam exploração em nível de prova de conceito e automatizável como sim. A probabilidade EPSS é 0.03253, com percentil de 0.88052.
Correção e mitigação
- Verifique o site da Totolink e os canais de suporte do fabricante em busca de atualizações de firmware que tratem o problema. Nenhuma correção é confirmada nas fontes consultadas.
- Não exponha a interface de gerenciamento web à internet. Restrinja o acesso a redes administrativas confiáveis e desative o gerenciamento remoto se ele não for necessário.
- Posicione os dispositivos afetados atrás de firewall e segmente-os de sistemas internos sensíveis.
- Se não houver correção do fabricante, considere substituir o equipamento por um modelo com suporte, pois uma injeção de comando sem correção em roteador exposto à internet representa risco de longo prazo.
- Troque credenciais administrativas padrão e revise as contas com acesso à interface de gerenciamento.
Orientações de detecção
- Analise logs do servidor web e do dispositivo em busca de requisições inesperadas à interface de gerenciamento, especialmente ao endpoint cstecgi.cgi, vindas de origens desconhecidas.
- Monitore alterações nas configurações de gerenciamento remoto feitas sem autorização de administradores.
- Observe conexões de saída inesperadas ou novos processos no dispositivo, se o seu monitoramento permitir.
- Trate qualquer mudança inexplicada de configuração como possível indicador de comprometimento e investigue.
Limitações das informações disponíveis
- O registro não lista aviso oficial do fabricante, versão corrigida ou patch.
- Apenas uma versão afetada está documentada, portanto outras builds de firmware podem ou não ser afetadas; isso é desconhecido.
- O status da fonte no registro é Deferred e o campo de data do EPSS é posterior à data de publicação, por isso os dados de pontuação devem ser reverificados em fontes atuais.
- As fontes consultadas não confirmam exploração no mundo real.
Perguntas frequentes
Qual é a fragilidade principal da CVE-2026-9406?
O registro descreve uma injeção de comando do sistema operacional (CWE-77) na função setRemoteCfg de /cgi-bin/cstecgi.cgi, acionada pela manipulação do argumento enable.
Existe correção para a CVE-2026-9406?
Nenhuma versão corrigida é listada nas fontes consultadas. A ausência de correção listada não confirma que ela não exista, então verifique com o fabricante.
Esta CVE tem exploração ativa confirmada?
Não. O registro informa que existe exploit público, mas a marcação KEV da CISA é falsa e as fontes consultadas não confirmam exploração ativa.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.