Критическая уязвимость в маршрутизаторах TOTOLINK A7100RU: удаленное выполнение кода без пароля

В Банке данных угроз безопасности информации (BDU) зарегистрирована новая критическая уязвимость, затрагивающая популярные домашние и офисные маршрутизаторы TOTOLINK A7100RU. Проблема получила идентификаторы BDU:2026-07593 и CVE-2026-6028 и оценку 9,8 балла по шкале CVSS 3.1, что говорит о крайне высоком уровне опасности. Эксплойт уже опубликован в открытом доступе, а официального исправления от производителя пока не существует.

Детали уязвимости

Уязвимость скрывается в функции setPptpServerCfg() сценария cgi-bin/cstecgi.cgi. Это компонент микропрограммного обеспечения маршрутизатора, отвечающий за настройку PPTP-сервера (протокол туннелирования "точка-точка" для организации VPN-подключений). Разработчики не предусмотрели должной очистки входных данных на управляющем уровне. Иными словами, злоумышленник может отправить специально сформированный HTTP-запрос на веб-интерфейс устройства. В итоге вредоносные данные интерпретируются как системные команды и выполняются с правами администратора маршрутизатора.

Атака относится к классу CWE-77 и CWE-78 - это внедрение команд операционной системы. Для эксплуатации не требуется аутентификация. Злоумышленнику достаточно знать IP-адрес уязвимого маршрутизатора и иметь к нему сетевой доступ. Вектор атаки сетевой, сложность низкая, а воздействие на конфиденциальность, целостность и доступность данных оценивается как максимальное. Это означает, что нарушитель может полностью перехватить управление устройством.

Уязвимость подтверждена для маршрутизатора TOTOLINK A7100RU с версией микропрограммного обеспечения 7.4cu.2313_B20191024. Эта модель относится к бюджетному сегменту и широко используется как в домашних сетях, так и в небольших офисах. Устройство предлагает поддержку Wi-Fi 802.11ac и несколько портов Gigabit Ethernet. Однако именно такие модели часто становятся мишенью для автоматизированных атак, поскольку производители редко выпускают для них обновления безопасности.

Используя данную уязвимость, нарушитель может выполнить произвольные команды на маршрутизаторе. Это открывает широкий спектр возможностей для атаки. Злоумышленник способен установить вредоносное программное обеспечение, перенаправить трафик на фишинговые сайты, перехватывать незашифрованные данные, изменить настройки DNS-серверов) или включить устройство в ботнет для проведения DDoS-атак.

Особую опасность ситуация представляет для корпоративных сетей. Если маршрутизатор TOTOLINK A7100RU используется как шлюз в малом офисе или филиале, его компрометация может открыть злоумышленнику доступ к внутренней инфраструктуре. Через уязвимое устройство нарушитель может попытаться перемещаться по сети, атакуя серверы, рабочие станции и другое сетевое оборудование. При отсутствии сегментации последствия могут быть катастрофическими.

Критический уровень опасности подтверждается всеми тремя версиями шкалы CVSS. В CVSS 2.0 базовая оценка составляет 10 баллов, в CVSS 3.1 - 9,8 балла, а в CVSS 4.0 - 8,9 балла. Такие показатели встречаются редко. Они присваиваются уязвимостям, которые позволяют удаленно выполнить код без аутентификации и без взаимодействия с пользователем. В данном случае все эти условия выполнены.

Кроме того, наличие готового эксплойта в открытом доступе существенно снижает порог входа для злоумышленников. Любой человек, имеющий базовые навыки работы с командной строкой, может загрузить описание атаки с GitHub и попытаться применить ее к уязвимым устройствам. Это превращает проблему из теоретической в практическую угрозу массового масштаба.

Поскольку официального патча нет, необходимо использовать компенсирующие меры. Прежде всего, ограничьте доступ к веб-интерфейсу маршрутизатора из внешних сетей. Убедитесь, что удаленное управление отключено. Если вам нужно подключаться к маршрутизатору удаленно, используйте только защищенные протоколы. Например, VPN-туннель позволит безопасно управлять устройством, не открывая порты в интернет.

Настройте межсетевой экран на блокировку входящих подключений к маршрутизатору из глобальной сети. Особое внимание уделите портам, связанным с веб-интерфейсом и службами удаленного управления. Рекомендуется также отключить неиспользуемые сервисы на самом устройстве. В частности, если PPTP-сервер не требуется для работы, лучше его деактивировать через настройки.

Сегментируйте сеть. Уязвимое устройство должно находиться в отдельной подсети с ограниченным доступом к критическим ресурсам. Используйте системы обнаружения вторжений (IDS) на границах сети. Они помогут выявить подозрительную активность, например множественные попытки подключения к веб-интерфейсу или нестандартные HTTP-запросы.

Если у вас установлен маршрутизатор TOTOLINK A7100RU, проверьте версию микропрограммного обеспечения в настройках. Если она совпадает с уязвимой, действуйте незамедлительно. Отключите удаленное управление и измените пароль администратора на сложный и уникальный. Особое внимание уделите необычным исходящим соединениям или резкому росту нагрузки на процессор устройства.

Подпишитесь на уведомления от производителя о выходе обновлений. Как только компания выпустит патч, установите его сразу. Желательно рассмотреть замену устройства на модель, которая получает регулярные обновления безопасности. Бюджетные маршрутизаторы часто прекращают поддерживать через год-два после выхода. Это делает их уязвимыми к новым атакам, которые появляются постоянно.

Уязвимость BDU:2026-07593 в TOTOLINK A7100RU представляет серьезную угрозу для тысяч пользователей. Критическая оценка, отсутствие патча и доступность эксплойта в открытых источниках делают ее идеальной мишенью для массовых атак. Пока производитель не выпустит исправление, владельцам устройств приходится полагаться только на меры предосторожности. Ситуация наглядно демонстрирует, насколько важно следить за безопасностью сетевого оборудования. Даже бюджетный маршрутизатор может стать точкой входа для злоумышленников, если пренебрегать его своевременным обновлением и правильной настройкой.

Детали уязвимости

Ссылки