CVE-2026-9458: Totolink A8000RU Interface Web de Gerenciamento cstecgi.cgi setWanCfg Injeção de Comando no SO
A CVE-2026-9458 é uma falha de injeção de comando no sistema operacional na função setWanCfg da Interface Web de Gerenciamento do Totolink A8000RU, versão de firmware 7.1cu.643_b20200521, acessível remotamente. A VulDB, na condição de CNA, atribui pontuação base CVSS 3.1 de 9.8 (crítica), e o registro informa que há exploit publicamente disponível. O registro não lista versão corrigida e a vulnerabilidade não consta no catálogo KEV da CISA.
Visão geral
A CVE-2026-9458 afeta a Interface Web de Gerenciamento do roteador Totolink A8000RU, especificamente a função setWanCfg exposta por meio de /cgi-bin/cstecgi.cgi. Segundo o registro da VulDB, a manipulação de um argumento tratado por essa função leva a injeção de comando no sistema operacional (CWE-77). O registro foi publicado em 25/05/2026 pela VulDB e está com status de fonte Deferred.
Impacto
Segundo a pontuação da CNA, o vetor CVSS 3.1 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H indica vetor de ataque pela rede, baixa complexidade, nenhum privilégio exigido e nenhuma interação do usuário, com alto impacto na confidencialidade, integridade e disponibilidade. A pontuação base é 9,8. Como a injeção de comando em um equipamento de rede pode conceder controle sobre o dispositivo, a consequência prática em caso de sucesso seria o comprometimento total do equipamento. Essa é uma inferência a partir do vetor e do CWE, e não uma afirmação das fontes.
Produtos e versões afetadas
- Produto: Totolink A8000RU
- Versão listada no registro: 7.1cu.643_b20200521
O registro não lista outras versões afetadas. Não é possível saber, a partir das fontes consultadas, se outras versões de firmware são afetadas.
Status de exploração
A descrição da VulDB informa que o exploit está publicamente disponível e pode ser utilizado. Os dados SSVC do registro classificam a exploração como prova de conceito e a automatização como sim. O catálogo KEV da CISA não inclui esta CVE. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Correção e mitigação
O registro não traz versão corrigida nem referência a patch do fabricante, portanto o status de correção é desconhecido. Administradores devem verificar a página de produtos da Totolink em busca de atualizações de firmware e confirmar com o fabricante se existe build corrigido para este modelo. Enquanto a correção não for verificada, convém restringir o acesso à interface web de gerenciamento, evitar sua exposição à internet, colocá-la atrás de segmentação de rede ou VPN e desativar o gerenciamento remoto sempre que possível.
Orientações de detecção
- Revise os logs do equipamento e do servidor web em busca de requisições inesperadas a /cgi-bin/cstecgi.cgi, especialmente de origens desconhecidas.
- Monitore alterações de configuração inesperadas nas definições de WAN, reinicializações do equipamento e conexões de saída originadas pelo roteador.
- Compare a versão de firmware com a build afetada e faça o inventário de todas as unidades A8000RU do ambiente.
Limitações das informações disponíveis
As fontes consultadas trazem uma descrição técnica curta, um registro CVSS da VulDB e da CNA e uma avaliação SSVC. Não há aviso oficial do fabricante, versão corrigida, faixas detalhadas de versões afetadas nem dados confirmados de exploração na natureza. O registro da CNA está marcado como Deferred, então seus detalhes podem mudar. Recomenda-se verificação adicional com o fabricante e com as referências citadas.
Referências: entrada da NVD, registro CVE, entrada da VulDB.
Perguntas frequentes
O que é a CVE-2026-9458?
É uma vulnerabilidade de injeção de comando no sistema operacional na função setWanCfg da Interface Web de Gerenciamento do Totolink A8000RU, firmware 7.1cu.643_b20200521, segundo o registro da VulDB.
Ela pode ser explorada remotamente?
O registro informa que o ataque pode ser realizado remotamente, e o vetor CVSS 3.1 indica ataque pela rede, sem privilégios e sem interação do usuário.
Esta vulnerabilidade consta no catálogo KEV da CISA?
Não. Os dados KEV do registro indicam que ela não está listada, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Existe versão corrigida?
O registro não lista versão corrigida, então o status de correção é desconhecido. Verifique com o fabricante atualizações de firmware e restrinja o acesso à interface de gerenciamento enquanto isso.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.