CVE-2026-6115

概要

Totolink A7100RU ルーター（ファームウェア 7.4cu.2313_b20191024）の CGI ハンドラ に OS コマンド インジェクション 脆弱性 が 存在 します。/cgi-bin/cstecgi.cgi の setAppCfg 関数 に おいて、enable パラメータ の 操作 に より OS コマンド を 注入 できます。

この 脆弱性 は CWE-78（OS コマンド インジェクション）に 分類 され、外部 から 受け取った 入力 を 適切 に サニタイズ せず に シェル コマンド の 一部 として 実行 する こと が 原因 です。IoT ルーター の CGI ハンドラ は 内部 で system() や popen() 等 の 関数 を 使用 する ケース が 多く、パラメータ に セミコロン や パイプ 等 の メタ 文字 を 含める こと で 任意 の OS コマンド が 実行 されます。

リモート から 認証 なし で 攻撃 可能 であり、ルーター 上 で 任意 の コマンド を 実行 できる ため、CVSS 9.8 と 最高 レベル に 近い スコア が 付与 されて います。同一 デバイス に 対して 同様 の 脆弱性 が 複数 報告 されて います（CVE-2026-6112 ～ CVE-2026-6114、CVE-2026-6116）。

影響 の 範囲

Totolink A7100RU は 家庭 や 小規模 オフィス で 使用 される 無線 ルーター です。CGI ハンドラ の setAppCfg 関数 を 含む 複数 の 関数 に 同様 の 入力 検証 の 不備 が 存在 し、攻撃者 は ルーター を 完全 に 制御 できます。ルーター の 乗っ取り は ネットワーク 全体 の トラフィック 傍受、DNS 改ざん、マルウェア 配布 拠点 化 など 深刻 な 被害 に つながります。管理 画面 が インターネット に 公開 されて いる 場合 は 直ち に アクセス を 遮断 してください。ファームウェア の 更新 が 提供 されて いない ため、ネットワーク 側 の 対策 が 重要 です。

CVSS ベクトル

影響 を 受ける ソフトウェア

修正 バージョン と 回避策

• 修正: 修正 ファームウェア は 本稿 執筆 時点 で 確認 されて いません
• 回避策: ルーター の 管理 画面 を 外部 ネットワーク に 公開 しない。可能 で あれ ば 機器 の 更新 を 検討 する

関連 リンク

• NVD — CVE-2026-6115
• VulDB

データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。