En bref

  • CVE-2026-7156, CVSS 9.8, injection de commandes OS pré-authentification dans Totolink A8000RU
  • Firmware 7.1cu.643_b20200521 affecté, exploit public déjà actif
  • Aucun correctif officiel disponible, mitigation par retrait du service externe

Les faits

Une vulnérabilité critique d'injection de commandes système, identifiée comme CVE-2026-7156, a été publiée le 27 avril 2026 contre les routeurs sans-fil Totolink A8000RU. Le score CVSS atteint 9.8 et l'exploitation est triviale, sans authentification requise. La faille réside dans le composant CGI Handler du firmware, plus précisément dans le fichier /cgi-bin/cstecgi.cgi et la fonction CsteSystem qui traite des arguments HTTP sans aucune validation ni assainissement.

Un attaquant qui adresse une requête HTTP forgée à l'endpoint vulnérable peut injecter directement des commandes système qui seront exécutées avec les privilèges du processus CGI, généralement root. Un exploit public est déjà disponible et observé en circulation, ce qui rapproche cette CVE des familles de vulnérabilités Mirai-like exploitées massivement contre les routeurs grand public et SOHO. Plusieurs autres CVE (CVE-2026-7154, CVE-2026-7138, CVE-2026-7139, CVE-2026-7140, CVE-2026-7202) affectent le même boîtier sur des fonctions différentes du même fichier CGI, signe d'un audit de surface beaucoup plus large que la seule CVE-2026-7156.

Impact et exposition

Le Totolink A8000RU est un routeur AC2600 commercialisé en grande surface et chez les revendeurs en ligne, présent dans des installations résidentielles et de TPE. La conséquence directe d'une compromission est une prise de contrôle complète du périphérique : modification du DNS pour intercepter et rediriger le trafic, déploiement de malware persistant en flash, intégration dans un botnet pour DDoS ou résidentiel proxy, écoute du trafic LAN. Les entreprises hébergeant ce type d'équipement en télétravail (avec accès VPN d'entreprise) doivent considérer le réseau interne comme potentiellement compromis si le routeur est exposé.

Les recherches Shodan sur les bannières HTTP exposant le pattern Totolink A8000RU remontent plusieurs milliers de résultats publics, principalement en Europe, Asie du Sud-Est et Amérique latine. Le constructeur n'a pas publié de correctif au moment de la rédaction et son historique de réactivité sur les CVE précédentes est mauvais : nombre de modèles antérieurs n'ont jamais reçu de patch.

Recommandations

  • Désactiver toute administration distante (Remote Management) du routeur depuis l'interface admin
  • Vérifier qu'aucun port HTTP/HTTPS du routeur n'est exposé sur Internet (test depuis un IP externe)
  • Remplacer le matériel par un modèle sous firmware actif (OpenWrt si compatible) en attendant un correctif officiel
  • Surveiller les logs DNS sortants pour détecter d'éventuelles modifications de résolution
  • Auditer les flux réseau atypiques sortant du LAN (relais SOCKS, tunnel)

Alerte critique

Avec un exploit public déjà en circulation et l'absence de patch constructeur, tout Totolink A8000RU exposé à Internet doit être considéré comme déjà compromis ou en cours de balayage. La fenêtre entre disclosure et exploitation massive sur ce type d'équipement se compte en heures, pas en jours.

Comment vérifier si mon routeur est exposé sans accès au WAN ?

Depuis un téléphone en 4G ou un VPN externe, tentez de joindre votre IP publique sur les ports 80, 443, 8080, 8443. Si vous obtenez une bannière Totolink ou une page d'authentification, votre admin distant est actif et exposé. Désactivez-le immédiatement.

Le NAT classique protège-t-il mon LAN ?

Le NAT seul ne protège pas le routeur lui-même : si l'interface admin est accessible côté WAN (par défaut désactivée mais souvent réactivée), la faille reste exploitable. Et si un attaquant atteint le LAN par un autre chemin (poste compromis, IoT vulnérable), il peut exploiter la CVE en interne et persister sur le routeur.

Cette publication s'inscrit dans la vague de RCE firmware révélée ces dernières semaines, après CVE-2026-35546 sur Anviz CX2/CX7 et la compromission Itron de 110 millions de compteurs IoT. Le pattern est constant : composant CGI mal codé, validation absente, exploitation pré-auth, absence de mécanisme de mise à jour automatique.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits de sécurité ciblés pour identifier et corriger vos vulnérabilités avant qu'elles ne soient exploitées.

Demander un audit