CVE-2026-9455: Injeção de Comando de SO no Totolink A8000RU via UploadOpenVpnCert

Visão geral

A CVE-2026-9455 descreve uma fraqueza de injeção de comando do sistema operacional (CWE-77) na interface de gerenciamento web do Totolink A8000RU, firmware versão 7.1cu.643_b20200521. A falha está na função UploadOpenVpnCert do componente /cgi-bin/cstecgi.cgi, onde o argumento FileName é tratado de forma que permite a inserção de comandos do sistema operacional. O registro foi publicado pela VulDB como CNA.

Impacto

A CNA classifica a pontuação base CVSS 3.1 em 9.8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
O registro afirma que a exploração remota é possível.
Os dados SSVC do registro indicam impacto técnico total e automação possível.
Também consta no registro uma pontuação CVSS 4.0 de 9.3 da VulDB, além de 8.9 atribuída pela CNA.

Produtos e versões afetadas

Totolink A8000RU, versão 7.1cu.643_b20200521 (única versão listada no registro).
O registro não lista outras versões afetadas nem versões corrigidas. Não é possível saber, a partir das fontes consultadas, se outros ramos de firmware são afetados.

Situação de exploração

O registro informa que um exploit foi divulgado publicamente e pode ser utilizado.
O campo de exploração SSVC está registrado como poc (prova de conceito).
O catálogo KEV da CISA não lista esta CVE. Não há, nas fontes consultadas, confirmação de exploração ativa ou exploração no ambiente real.
A probabilidade EPSS registrada é de 0,03253, com percentil de 0,88052.

Correção e mitigação

Nenhuma versão corrigida consta no registro. A ausência de correção listada não significa que ela não exista; consulte o site do fabricante Totolink em busca de atualizações de firmware ou avisos para este modelo.
Enquanto uma atualização verificada não for aplicada, restrinja o acesso à interface de gerenciamento web. Não a exponha à internet, limite-a a redes administrativas confiáveis e desabilite o gerenciamento remoto quando não for necessário.
Segmente os dispositivos com este firmware de sistemas internos sensíveis e avalie se o equipamento deve permanecer em operação.
Considere substituir dispositivos sem suporte ou sem correção caso o fabricante não forneça uma solução.

Orientação para detecção

Revise os logs do servidor web e do equipamento em busca de requisições inesperadas a /cgi-bin/cstecgi.cgi, sobretudo de origens desconhecidas ou externas.
Monitore o equipamento quanto a alterações de configuração inesperadas, novos arquivos ou processos que não foram criados por administradores.
Gere alertas para conexões de saída incomuns originadas do roteador ou do dispositivo de acesso.

Limitações das informações disponíveis

O registro não lista versão corrigida nem aviso do fabricante.
O registro não inclui detalhes do código vulnerável, pré-condições exatas ou o alcance dos equipamentos afetados além do modelo e da versão de firmware listados.
A entrada EPSS tem data (2026-10-13) posterior à data de publicação, por isso sua temporalidade deve ser interpretada com cautela.
A análise se limita aos dados do registro da CVE e às fontes por ele referenciadas.

Perguntas frequentes

A CVE-2026-9455 é conhecida como explorada ativamente?

O CISA KEV não lista esta CVE e, nas fontes consultadas, não há confirmação de exploração ativa. O registro informa que um exploit foi divulgado publicamente.

Qual versão do Totolink A8000RU é afetada?

O registro indica o firmware 7.1cu.643_b20200521 como versão afetada. Não lista outras versões nem uma versão corrigida.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.