CVE-2026-9478: Injeção de Comando no Sistema Operacional em setParentalRules do cstecgi.cgi da Interface Web do Totolink A8000RU

Visão geral

A CVE-2026-9478 descreve uma falha de injeção de comando no sistema operacional, classificada como CWE-77, na função setParentalRules acessada por /cgi-bin/cstecgi.cgi na Interface de Gerenciamento Web do Totolink A8000RU. O firmware afetado é o 7.1cu.643_b20200521. O registro indica que a falha é acionada pela manipulação do argumento enable e que o ataque pode ser realizado remotamente. A CVE foi publicada em 25/05/2026 e a CNA é a VulDB, com a entrada disponível em VulDB e no registro do NVD.

Impacto

A VulDB atribui pontuação 9.8 (crítica) pelo CVSS 3.1, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
O vetor indica vetor de ataque por rede, sem privilégios e sem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
A injeção de comando em um roteador embarcado pode permitir a execução de comandos do sistema operacional no dispositivo, afetando a rede que ele protege.
A avaliação SSVC do registro indica exploração em nível de prova de conceito, automatizável e impacto técnico total.

Produtos e versões afetadas

Totolink A8000RU, versão 7.1cu.643_b20200521.
As fontes consultadas não listam outras versões ou revisões de produto afetadas.
A página do fabricante está em Totolink.

Status de exploração

O registro afirma que o exploit foi disponibilizado ao público e pode ser usado em ataques.
A CVE não consta no catálogo de vulnerabilidades exploradas conhecidas (KEV) da CISA no registro analisado, portanto não há exploração ativa confirmada nas fontes consultadas.
A probabilidade EPSS do registro é 0,03253, com percentil 0,88058.

Correção e mitigação

Nenhuma versão corrigida está registrada nas fontes consultadas. A ausência de correção listada não confirma que ela não exista, por isso verifique no site do fabricante se há atualização de firmware para o A8000RU.
Se não houver correção, considere substituir o equipamento ou retirá-lo de serviço, pois o modelo pode não receber mais atualizações de segurança.
Não exponha a interface de gerenciamento web à internet. Desative o gerenciamento remoto e restrinja o acesso administrativo a hosts internos confiáveis ou a uma VLAN de gerenciamento.
Mantenha o equipamento em segmento de rede isolado, para que um roteador comprometido não alcance sistemas internos sensíveis.
Troque as credenciais administrativas padrão e revise as contas de usuário do dispositivo.

Orientações de detecção

Analise os logs da interface web de gerenciamento em busca de requisições inesperadas a /cgi-bin/cstecgi.cgi, especialmente às funções de controle parental, vindas de origens desconhecidas.
Monitore alterações de configuração, incluindo controle parental, e compare-as com uma linha de base conhecida.
Observe conexões de saída ou padrões de tráfego inesperados originados do roteador.
Quando o equipamento permitir, verifique processos, arquivos ou alterações de configuração não esperados após atividade suspeita.

Limitações das informações disponíveis

As fontes não fornecem versão corrigida de firmware nem texto de aviso do fabricante.
O registro não descreve qual validação de entrada está ausente, e esta análise não busca reproduzir a falha.
A data do EPSS no registro (2026-10-13) é posterior à data de publicação, por isso a pontuação deve ser reconferida com dados atuais.
Não se sabe quantos dispositivos continuam expostos na internet.

Perguntas frequentes

A CVE-2026-9478 está sendo explorada ativamente?

A CVE não consta no catálogo KEV da CISA no registro analisado, portanto não há exploração ativa confirmada nas fontes consultadas. O registro afirma, porém, que um exploit foi disponibilizado ao público.

Quais equipamentos são afetados?

O registro indica o Totolink A8000RU com firmware 7.1cu.643_b20200521. Nenhuma outra versão está listada nas fontes consultadas.

Existe correção?

Nenhuma versão corrigida está registrada nas fontes consultadas. Verifique o site do fabricante e, se não houver atualização, considere substituir ou retirar o equipamento.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.