Totolink A7100RU CGI cstecgi.cgi setAppCfg osコマンドインジェクション

Totolink A7100RU ルーターのバージョン 7.4cu.2313_b20191024 (CVE-2026-6115) に重大な脆弱性が発見されました。この脆弱性は、CGI Handler のコンポーネントである /cgi-bin/cstecgi.cgi ファイルの setAppCfg 関数に存在します。攻撃者は、enable 引数を操作することで、オペレーティングシステムのコマンドを注入できます。この脆弱性の深刻度は CVSS スケールで 9.8 と評価されており、高いリスクを示しています。攻撃はリモートで行うことができ、ネットワークアクセスがあればどこからでも実行可能です。最も懸念されるのは、すでに機能するエクスプロイトが公開されており、悪意のある攻撃者によって脆弱性が容易に悪用される可能性があることです。これにより、攻撃者はデバイスを完全に制御し、ネットワークを侵害し、機密情報にアクセスする可能性があります。

Home and small business users who rely on the Totolink A7100RU router for their internet connectivity are at significant risk. Organizations using this router as part of their network infrastructure, particularly those with limited security expertise, are also vulnerable. Shared hosting environments utilizing this router model pose a heightened risk due to the potential for cross-tenant exploitation.

• linux / server:

journalctl -u cstecgi -g 'command injection'

• linux / server:

ps aux | grep cstecgi | grep -i 'enable='

• generic web:

curl -I http://<router_ip>/cgi-bin/cstecgi.cgi?enable=;id

• generic web:

grep -i 'enable=' /var/log/apache2/access.log

1. 2026-04-12Disclosure

   disclosure

2. 2026-04-12PoC

   poc

1. 予約済み2026-04-11
2. 公開日2026-04-12
3. 更新日2026-04-13
4. EPSS 更新日2026-04-19

Totolink はまだこの脆弱性に対する修正プログラムを提供していません。最も効果的な軽減策は、この脆弱性を修正するバージョンにルーターのファームウェアを更新することです。それまでは、追加のセキュリティ対策を講じることをお勧めします。たとえば、ルーターのデフォルトのパスワードを強力で一意のパスワードに変更し、ルーターの管理インターフェイスへのリモートアクセスを無効にする (必要がない場合)、ファイアウォールを有効にしておくなどです。不審なアクティビティを監視して、潜在的な攻撃を検出し、対応することも役立ちます。Totolink の Web サイトを定期的に確認して、更新情報とセキュリティアドバイザリを確認することが重要です。