Totolink A7100RU CGI cstecgi.cgi setNetworkCfg osコマンドインジェクション

Totolink A7100RU ルーターのバージョン 7.4cu.2313_b20191024 に、重大な脆弱性が検出されました。CVE-2026-6114 は、ファイル /cgi-bin/cstecgi.cgi の関数 setNetworkCfg におけるオペレーティングシステムコマンドインジェクション (OS Command Injection) 脆弱性を記述しています。攻撃者は、'proto' 引数を操作することでこの脆弱性を悪用し、デバイス上で任意のコマンドを実行できます。この脆弱性の深刻度は CVSS スケールで 9.8 と評価されており、非常に高いリスクを示しています。エクスプロイトの公開により、状況はさらに悪化し、悪意のある攻撃者が脆弱性を悪用しやすくなります。この脆弱性により、攻撃者はルーターを制御し、ローカルネットワークにアクセスし、接続されたデバイスを侵害する可能性があります。

Small and medium-sized businesses (SMBs) and home users relying on the Totolink A7100RU router are at significant risk. Organizations with limited security resources or those using default router configurations are particularly vulnerable. Shared hosting environments utilizing this router also present a heightened risk, as a compromise could affect multiple tenants.

• linux / server:

journalctl -u cstecgi -g 'proto='

• generic web:

curl -s -H "Host: your_router_ip" /cgi-bin/cstecgi.cgi?proto=;id;ls -al | grep cstecgi

• linux / server:

ps aux | grep cstecgi

1. 2026-04-12Disclosure

   disclosure

2. 2026-04-12PoC

   poc

1. 予約済み2026-04-11
2. 公開日2026-04-12
3. 更新日2026-04-14
4. EPSS 更新日2026-04-19

現在、Totolink はこの脆弱性に対する公式な修正 (fix) を提供していません。最も効果的な即時の軽減策は、ファームウェアのアップデートがリリースされるまでルーターをインターネットから切断することです。インターネット接続が必要な場合は、外部ネットワークからのルーターへのアクセスを制限するための厳格なファイアウォールルールを実装することをお勧めします。ネットワークトラフィックを監視して疑わしいアクティビティを検出および対応することも役立ちます。ユーザーは Totolink からのセキュリティに関する発表に注意し、利用可能になり次第ファームウェアを更新することをお勧めします。より堅牢なセキュリティ履歴を持つモデルでルーターを置き換えることを検討することも、長期的なオプションです。