Totolink A7100RU CGI cstecgi.cgi setWiFiEasyCfg osコマンドインジェクション

Totolink A7100RU ルーターのバージョン 7.4cu.2313_b20191024 (CVE-2026-5854) に重大な脆弱性が検出されました。この脆弱性は、CGI Handler のコンポーネントである /cgi-bin/cstecgi.cgi ファイルの setWiFiEasyCfg 関数に存在する OS コマンドインジェクションの脆弱性です。攻撃者は、merge 引数を操作することでこの脆弱性を悪用し、デバイス上で任意のコマンドを実行できます。この脆弱性は CVSS スコア 9.8 で評価されており、極めて高いリスクを示しています。エクスプロイトの公開により、状況はさらに悪化し、悪意のある攻撃者がそれを利用しやすくなります。Totolink からの公式な修正プログラムの欠如により、即時の軽減策が必要です。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A7100RU router are at significant risk. Organizations with multiple Totolink A7100RU devices deployed in their networks face a broader attack surface. Users with exposed routers or those using default configurations are particularly vulnerable.

• linux / server:

journalctl -u cstecgi -g 'merge='

• linux / server:

ps aux | grep cstecgi

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi

• generic web:

 grep -i 'merge=' /var/log/apache2/access.log

1. 2026-04-09Disclosure

   disclosure

1. 予約済み2026-04-08
2. 公開日2026-04-09
3. EPSS 更新日2026-04-16

CVE-2026-5854 に対して Totolink A7100RU に公式な修正プログラムが利用できないため、一時的な軽減策を実施することを強くお勧めします。ネットワークセグメンテーションが重要です。A7100RU ルーターを機密性の高いネットワークから分離します。インターネットからのルーターへのアクセスを制限するために、厳格なファイアウォールルールを実装します。ルーターのログを積極的に監視して、疑わしい活動がないか確認します。可能であれば、セキュリティアップデートが適用された最新モデルのルーターに A7100RU ルーターを置き換えることを検討してください。リモート Web インターフェイスへのアクセスを無効にすると、不便ですが、攻撃対象領域が大幅に削減されます。これらの対策を適用することでリスクを軽減できますが、脆弱性を完全に排除するものではありません。