Totolink A7100RU cstecgi.cgi setRemoteCfg osコマンドインジェクション

Totolink A7100RU ルーターのファームウェアバージョン 7.4cu.2313_b20191024 (CVE-2026-5690) に、コマンドインジェクションの脆弱性が発見されました。この脆弱性は、/cgi-bin/cstecgi.cgi ファイルの setRemoteCfg 関数内に存在します。リモートの攻撃者は、enable 引数を操作することでこの欠陥を利用し、デバイス上で任意のコマンドを実行できる可能性があります。この脆弱性の深刻度は CVSS スケールで 7.3 と評価されており、中程度から高いリスクを示しています。機能的なエクスプロイトが公開されたことで、積極的なエクスプロイトのリスクが大幅に高まっています。この脆弱性を悪用すると、攻撃者がルーターを侵害し、接続されているネットワークにアクセスし、機密データを盗んだり、その他の悪意のあるアクションを実行したりする可能性があります。

Small and medium-sized businesses (SMBs) and home users who rely on the Totolink A7100RU router for their internet connectivity are at risk. Shared hosting environments utilizing this router model are particularly vulnerable, as a compromise could impact multiple tenants. Users with legacy router configurations or those who have not implemented strong security practices are also at increased risk.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• linux / server:

ps aux | grep cstecgi | grep -i 'enable='

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?enable=;id

1. 2026-04-06Disclosure

   disclosure

1. 予約済み2026-04-06
2. 公開日2026-04-06
3. 更新日2026-04-07
4. EPSS 更新日2026-04-14

現時点では、Totolink からこの脆弱性に対する公式な修正 (fix) は公開されていません。最も効果的な軽減策は、ルーターのファームウェアをパッチが適用されたバージョンにできるだけ早く更新することです。その間は、デフォルトのルーターパスワードを強力で一意のパスワードに変更したり、必要でない場合はルーターへのリモートアクセスを無効にしたり、ルーターのファイアウォールを有効にしたりするなど、追加のセキュリティ対策を実装することをお勧めします。ネットワークトラフィックを不審な活動がないか監視することも、潜在的な攻撃を検出し、対応するのに役立ちます。Totolink に直接連絡して、今後のセキュリティアップデートに関する情報を得ることをお勧めします。