CVE-2026-9434: Totolink A8000RU, interface Web Management cstecgi.cgi, setWiFiWpsCfg: injeção de comando do sistema operacional

Visão geral

A CVE-2026-9434 descreve uma fraqueza de injeção de comando do sistema operacional (CWE-77) na interface Web Management do Totolink A8000RU, versão de firmware 7.1cu.643_b20200521. Segundo o registro, o problema está na função setWiFiWpsCfg de /cgi-bin/cstecgi.cgi, e a manipulação do argumento wscDisabled leva à injeção de comando. O registro foi publicado pela VulDB como CNA em 25/05/2026, e seu status no NVD consta como Deferred.

Impacto

O vetor CVSS 3.1 registrado pela VulDB e pela CNA é CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, com pontuação base de 9,8 (crítica). Esse vetor indica vetor de ataque pela rede, baixa complexidade, ausência de privilégios e de interação do usuário, além de alto impacto na confidencialidade, integridade e disponibilidade. Também consta a pontuação CVSS 4.0 de 9,3 pela VulDB e de 8,9 pela CNA. Um atacante com acesso à interface de gerenciamento poderia, em tese, executar comandos do sistema operacional no equipamento.

Produtos e versões afetados

Totolink A8000RU, versão 7.1cu.643_b20200521 (único produto e versão listados no registro).
Componente: interface Web Management, função setWiFiWpsCfg em /cgi-bin/cstecgi.cgi.

O registro não informa nenhuma versão corrigida. O site do fabricante é citado como referência, mas não foi localizado aviso oficial do fabricante para esta CVE nas fontes consultadas.

Status de exploração

A CVE não consta, no registro, no catálogo KEV da CISA, portanto não há exploração ativa confirmada registrada.
O registro informa que o exploit foi divulgado publicamente e pode ser utilizado. Há uma referência a um repositório de terceiros marcado como exploit; seu conteúdo não foi analisado aqui.
A probabilidade EPSS é 0,03253 (percentil 0,88054). Os campos SSVC indicam exploração em nível de prova de conceito, automatizável como sim e impacto técnico como total.
Não há confirmação de exploração no mundo real nas fontes consultadas.

Remediação e mitigação

Verifique o site do fabricante e a entrada da VulDB quanto a atualizações de firmware. Como não há versão corrigida no registro, trate o status como desconhecido até que haja confirmação oficial.
Restrinja o acesso à interface de gerenciamento web. Não a exponha à internet e limite-a a redes administrativas confiáveis ou a VPN.
Desative recursos de gerenciamento remoto que não sejam necessários.
Se o equipamento não puder ser atualizado ou isolado, considere substituí-lo por modelo com suporte, já que o registro não informa correção.
Avalie a exposição dos dispositivos no ambiente e priorize os acessíveis a partir de redes não confiáveis.

Orientações de detecção

Analise os logs do servidor web e do equipamento em busca de requisições incomuns ou inesperadas para /cgi-bin/cstecgi.cgi, especialmente as que façam referência à função de configuração WPS do Wi-Fi.
Monitore conexões de saída inesperadas ou alterações de configuração originadas no equipamento.
Gere alertas para acessos à interface de gerenciamento a partir de endereços fora das faixas administrativas aprovadas.
Mantenha inventário dos dispositivos A8000RU e de suas versões de firmware para apoiar a triagem rápida.

Limitações das informações disponíveis

Não há versão corrigida ou com patch no registro.
Nenhum aviso oficial do fabricante foi localizado nas fontes consultadas.
O registro apresenta várias versões de CVSS e provedores com pontuações diferentes; elas são relatadas como constam, sem reconciliação.
O status no NVD é Deferred, e a data do EPSS no registro não foi verificada aqui.
Não é possível saber, a partir do registro, se a falha é explorável em todas as configurações.

Perguntas frequentes

O que é a CVE-2026-9434?

É uma fraqueza de injeção de comando do sistema operacional (CWE-77) na interface Web Management do firmware Totolink A8000RU 7.1cu.643_b20200521, na função setWiFiWpsCfg de /cgi-bin/cstecgi.cgi.

Essa vulnerabilidade está sendo explorada ativamente?

O registro não a lista no catálogo KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. O registro informa, porém, que um exploit foi divulgado publicamente.

Existe versão corrigida?

Nenhuma versão corrigida consta no registro. O status permanece desconhecido até que o fabricante confirme uma correção.

O que os administradores devem fazer agora?

Restringir o acesso à interface de gerenciamento, desativar o gerenciamento remoto se não for necessário, verificar atualizações junto ao fabricante e monitorar os logs em busca de requisições incomuns ao endpoint afetado.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.