CVE-2026-9477: Injeção de comando do SO no cstecgi.cgi (setAccessDeviceCfg) do Totolink A8000RU

Visão geral

A CVE-2026-9477 descreve uma falha de injeção de comando do sistema operacional na função setAccessDeviceCfg do manipulador /cgi-bin/cstecgi.cgi, na interface de gerenciamento web do Totolink A8000RU, versão 7.1cu.643_b20200521. Segundo o registro, a manipulação do argumento mac pode fazer com que texto fornecido pelo atacante seja repassado ao sistema operacional. A classificação CWE é CWE-77 (Injeção de Comando). Os detalhes são publicados pela VulDB e pela entrada no NVD.

Impacto

O vetor CVSS 3.1 do registro é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve uma falha acessível pela rede, sem necessidade de privilégios ou interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade. O registro também lista pontuações CVSS 4.0 de 9.3 (VulDB) e 8.9 (cna@vuldb.com). Uma avaliação SSVC presente no registro classifica o impacto técnico como total e a automatizabilidade como sim.

Produtos e versões afetadas

Totolink A8000RU, versão 7.1cu.643_b20200521 (única versão listada no registro).
O componente afetado é a Interface de Gerenciamento Web, função setAccessDeviceCfg.

O registro não lista outras versões afetadas. Não é possível saber, com os dados disponíveis, se outras versões de firmware são afetadas.

Status de exploração

O registro informa que o exploit foi divulgado publicamente e pode ser usado em ataques. Uma referência de exploit pública consta entre as fontes. A listagem no catálogo KEV da CISA é falsa, portanto nas fontes consultadas não há exploração ativa confirmada. A probabilidade EPSS no registro é 0.03253 (percentil 0.88058). O campo de exploração SSVC é poc, indicando disponibilidade de prova de conceito.

Remediação e mitigação

Nenhuma versão corrigida consta no registro. Verifique o site do fabricante e a entrada da VulDB para atualizações, tratando a ausência de correção listada como desconhecida, e não como confirmação de inexistência.
Enquanto não houver correção verificada, restrinja o acesso à interface de gerenciamento a redes administrativas confiáveis e desabilite o gerenciamento remoto a partir de redes não confiáveis.
Posicione os dispositivos afetados atrás de controles de segmentação, evitando que a interface web fique exposta à internet.
Substitua ou desative dispositivos que o fabricante não suporte mais.

Orientação para detecção

Revise os logs do servidor web e do dispositivo em busca de requisições inesperadas para /cgi-bin/cstecgi.cgi, especialmente chamadas à função setAccessDeviceCfg com valores incomuns no parâmetro mac.
Monitore alterações de configuração inesperadas, novos processos ou conexões de saída originadas do dispositivo.
Encaminhe os logs do dispositivo para um sistema centralizado, para que atividades suspeitas possam ser investigadas.

Limitações das informações disponíveis

O registro não traz versão corrigida, aviso oficial do fabricante nem lista confirmada de outras versões de firmware afetadas. A data do EPSS no registro (2026-10-13) é posterior à data de publicação, por isso o momento desse índice deve ser verificado. As fontes consultadas não relatam exploração confirmada na natureza.

Perguntas frequentes

A CVE-2026-9477 está sendo explorada ativamente?

O registro informa que um exploit foi divulgado publicamente, mas a listagem no catálogo KEV da CISA é falsa. Nas fontes consultadas não há exploração ativa confirmada.

Existe versão corrigida para a falha no Totolink A8000RU?

Nenhuma versão corrigida consta no registro. A ausência de correção listada é desconhecida, por isso verifique as páginas do fabricante e da VulDB.

Qual é o principal risco desta vulnerabilidade?

O vetor CVSS 3.1 descreve injeção de comando remota e sem autenticação, com alto impacto em confidencialidade, integridade e disponibilidade, o que explica a pontuação 9.8.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.