CVE-2026-7240: OS command injection w Totolink A8000RU (setVpnAccountCfg)

Podsumowanie

Parametr	Wartość
CVE ID	CVE-2026-7240
Źródło alertu	GitHub Advisory - Krytyczna podatność
Rok publikacji CVE	2026
Data publikacji	2026-04-28
Producent	Totolink
Produkt	A8000RU
CVSS Score	9.8 (Krytyczny)
EPSS Score	Brak danych
CISA KEV	Nie
Ransomware	Nie potwierdzono

Opis podatności

Źródło: NVD

W routerze Totolink A8000RU w wersji 7.1cu.643_b20200521 wykryto lukę bezpieczeństwa. Podatność dotyczy funkcji setVpnAccountCfg w pliku /cgi-bin/cstecgi.cgi w komponencie CGI Handler. Tego rodzaju manipulacja argumentem User prowadzi do wstrzyknięcia poleceń systemu operacyjnego (OS command injection). Atak może zostać wykonany zdalnie. Exploit został ujawniony publicznie i może być wykorzystywany.

Wymagane działania

Niezwłocznie zaktualizuj firmware routera Totolink A8000RU do najnowszej wersji zawierającej poprawkę bezpieczeństwa. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do interfejsu zarządzania wyłącznie z zaufanej sieci wewnętrznej (LAN, VPN) i wyłącz dostęp z internetu (WAN). Zmień domyślne dane logowania administratora oraz monitoruj logi pod kątem nietypowych żądań do /cgi-bin/cstecgi.cgi.

Kogo dotyczy?

Podatność dotyczy produktu A8000RU dostarczanego przez Totolink. Sprawdź czy Twoja organizacja korzysta z tego routera (zwłaszcza w wersji firmware 7.1cu.643_b20200521) i niezwłocznie zaktualizuj firmware lub odetnij interfejs zarządzania od sieci niezaufanych.

Źródła

• NVD - CVE-2026-7240

• FIRST EPSS

---

Potrzebujesz wsparcia w zabezpieczeniu systemów? Zespół nFlo oferuje usługi zarządzania podatnościami oraz SOC 24/7. Skontaktuj się z nami.