Totolink A7100RU CGI cstecgi.cgi setVpnPassCfg os コマンドインジェクション

Totolink A7100RUルーター（バージョン7.4cu.2313_b20191024）において、深刻な脆弱性（CVE-2026-5850）が特定されました。この脆弱性は、CGI Handlerコンポーネントによって処理される/cgi-bin/cstecgi.cgiファイルのsetVpnPassCfg関数におけるオペレーティングシステムコマンドインジェクション（OS command injection）の欠陥です。攻撃者は、pptpPassThru引数を操作することで、この脆弱性を悪用し、デバイス上で任意のコマンドを実行できます。この脆弱性の深刻度はCVSSスケールで9.8と評価されており、高いリスクを示しています。機能するエクスプロイトが公開されているため、悪用のリスクが大幅に高まっています。

Small and medium-sized businesses (SMBs) and home users who rely on the Totolink A7100RU router for their internet connectivity are at significant risk. Shared hosting environments utilizing this router as a gateway are particularly vulnerable, as a compromise could impact multiple tenants. Users with default router configurations or those who have not updated their firmware are also at increased risk.

• linux / server:

journalctl -u cstecgi -g 'pptpPassThru'

• linux / server:

ps aux | grep cstecgi | grep pptpPassThru

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?pptpPassThru=$(id)

1. 2026-04-09Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-09
3. 更新日2026-04-13
4. EPSS 更新日2026-04-16

現時点では、Totolinkからこの脆弱性に対する公式な修正プログラムは提供されていません。最も効果的な軽減策は、ルーターのファームウェアをこの欠陥を修正した最新バージョンに更新することです。修正プログラムが利用できないため、ルーターを公共ネットワークから隔離し、信頼できるユーザーとデバイスのみへのアクセスを制限することを強くお勧めします。厳格なファイアウォールルールを実装して、ルーターへの不正なトラフィックをブロックすることも、リスクを軽減するのに役立ちます。ルーターを注意深く監視することが重要です。定期的なセキュリティアップデートを受け取るモデルでルーターを置き換えることを検討してください。