Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Son 7 gün
  • CWE-78

CVE-2026-9814

TOTOLINK X2000R boa formWizard newPass işlevinde OS komut enjeksiyonu

Totolink

Kritik 9,1 CVSS 3.1
Yayımlandı
Güncellendi
24 Eki 2026
Açık yaşı
7 gün
Kaydı açan
talos

Yönetici özeti

Bu açık, ağ geçidi görevi gören bir yönlendirici cihazını tamamen ele geçirilebilir hale getirir ve bu da işletmenin ağındaki tüm trafik ve bağlı sistemler için ciddi bir risk oluşturur. Saldırının önkoşulu geçerli bir oturum olsa da, sonuçların ağırlığı nedeniyle en kısa sürede yama veya geçici önlem alınması önerilir.

ÖzetTürkçe

TOTOLINK X2000R cihazının boa formWizard newPass işlevinde, özel hazırlanmış bir HTTP isteğiyle işletim sistemi komutu enjekte edilebilen bir güvenlik açığı bulunmaktadır. Etkilenen sürüm TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 olarak bildirilmiştir. Saldırganın bu açığı tetiklemek için kimlik doğrulaması yapılmış bir istek göndermesi gerekir.

Saldırgan ne yapabilir?

Başarılı bir saldırı, saldırganın cihaz üzerinde keyfi kod çalıştırmasına ve cihazı tamamen ele geçirmesine olanak tanıyabilir. Bu durum yapılandırmanın değiştirilmesi, ağ trafiğinin izlenmesi veya ağdaki diğer sistemlere sıçrama için kullanılabilir.

Kaynaktaki açıklama (İngilizce)

An OS command injection vulnerability exists in the boa formWizard newPass functionality of X2000R (version(s): TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327). A specially crafted HTTP request can lead to arbitrary code execution. An attacker can make an authenticated HTTP request to trigger this vulnerability.

Ne yapmalı?

  1. Üretici tarafından belirtilen düzeltilmiş bir sürüm bilgisi bulunmadığından, cihaz yazılımını üreticinin resmi destek kanallarından güncel sürüme yükseltip yükseltilmediğini kontrol edin ve mevcut güncelleme yoksa cihazı kullanmaya devam etmeden önce risk değerlendirmesi yapın. Genel öneri
  2. Yönetim arayüzüne erişimi yalnızca güvenilen yerel ağ adresleriyle sınırlandırın ve internet üzerinden yönetim erişimini kapatın. Genel öneri
  3. Yönetici hesabı parolalarını güçlü ve benzersiz parolalarla değiştirin ve varsayılan kimlik bilgilerinin kullanılmadığından emin olun. Genel öneri
  4. Yönetim arayüzünde oturum açma kayıtlarını ve olağandışı yapılandırma değişikliklerini düzenli olarak inceleyin. Genel öneri

Ek önlemler

  • Cihazın yönetim arayüzünü ağ segmentasyonu ile iç ağdaki yetkili yönetici cihazlarına kısıtlayın. Genel öneri
  • Cihazın beklenmeyen giden bağlantılar veya yeni çalışan süreçler gibi davranış değişikliklerini izleyin. Genel öneri
  • Cihazı ağ geçidi olarak kullanan sistemlerde yedekleme ve hızlı geri yükleme planı hazırlayın. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
Totolink TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 –

Kaynaklar3 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.