Entre le 21 et le 22 octobre 2026, NVD a reçu six CVE critiques visant cinq équipements réseau grand public de trois constructeurs : TOTOLINK, Tenda et D-Link. Toutes ont été déposées par VulDB (CNA), et pour toutes, la description précise que l'exploit a été publié.
Le schéma est connu : une version de firmware précise, une fonction de l'interface web qui recopie un paramètre sans contrôle, une preuve de concept sur GitHub. Ce qui change d'un lot à l'autre, ce sont les modèles. Et ce qui ne change jamais, c'est l'absence de version corrigée dans les données NVD.
| CVE | Équipement | Firmware cité | Classe de faille | CVSS 3.1 (VulDB) |
|---|---|---|---|---|
| CVE-2026-114575 | TOTOLINK A950RG | 4.1.2cu.5268_B20221104 | Injection de commande (CWE-77) | 10.0 |
| CVE-2026-114383 | TOTOLINK EX200 | 5.2.3c.7200 | Débordement de pile (CWE-121) | 10.0 |
| CVE-2026-114382 | TOTOLINK EX200 | 5.2.3c.7200 | Débordement de pile (CWE-121) | 10.0 |
| CVE-2026-113744 | Tenda AC19 | 16.03.10.07 | Débordement de pile (CWE-121) | 10.0 |
| CVE-2026-114268 | Tenda BE3L Pro | 16.03.60.62 | Débordement de tampon (CWE-120) | 9.9 |
| CVE-2026-113736 | D-Link DHP-W610AV | 1.02EUb03 | Mot de passe vide (CWE-258) | 9.8 |
Tous les scores viennent de VulDB ; NVD a placé ces entrées en statut Deferred : elles ne seront pas analysées par NIST, et aucune configuration CPE n'y est attachée. Aucune n'est au catalogue CISA KEV à la date de rédaction.
TOTOLINK A950RG — CVE-2026-114575
Vecteur : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)
La fonction UploadCustomModule de la bibliothèque lib/cste_modules/product.so utilise le paramètre FileMd5 dans une commande système sans le neutraliser. Un attaquant qui atteint l'interface peut donc injecter ses propres commandes, sans authentification selon le vecteur publié.
Le nom de la fonction est parlant : un paramètre censé contenir une empreinte MD5 de fichier, donc une chaîne hexadécimale de longueur fixe, n'est pas validé comme tel. C'est le défaut le plus courant sur ce type de firmware.
TOTOLINK EX200 — CVE-2026-114383 et CVE-2026-114382
Vecteur : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0) pour les deux
Deux débordements de pile dans le même point d'entrée, /cgi-bin/cstecgi.cgi, mais dans deux modules différents :
- CVE-2026-114383 : fonction
setWiFiAclAddConfigdu modulewireless.so, paramètremacAddress; - CVE-2026-114382 : fonction
setStaticDhcpConfigdu modulelan.so, paramètreComment.
L'EX200 est un répéteur Wi-Fi. Ce type d'équipement est souvent installé une fois, branché dans un couloir ou une salle de réunion, et oublié — y compris dans les mises à jour.
Le même gestionnaire cstecgi.cgi revient régulièrement chez TOTOLINK ; voir aussi les 30 CVE Talos sur le X2000R, publiées quelques jours plus tôt.
Tenda AC19 — CVE-2026-113744
Vecteur : AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0)
Débordement de pile dans formSetFirewallCfg (/goform/SetFirewallCfg), le service web d'administration httpd, via le paramètre firewallEn. Ironie du sort, c'est le formulaire de configuration du pare-feu de l'équipement qui sert de porte d'entrée.
Tenda BE3L Pro — CVE-2026-114268
Vecteur : AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H (9.9)
Débordement de tampon dans formWifiBasicSet (/goform/WifiBasicSet), paramètre security_5g. Seule différence notable du lot : le vecteur indique PR:L, donc un accès authentifié à l'interface est requis. Sur un routeur grand public, cela se réduit souvent à connaître le mot de passe d'administration — parfois celui d'usine.
D-Link DHP-W610AV — CVE-2026-113736
Vecteur : AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (9.8)
Ici, pas de corruption mémoire. Selon la description NVD, le fichier de configuration par défaut etc/defnodes/defaultvalue.xml définit un mot de passe vide, pris en compte par la fonction login_prepare_hnap lors de la connexion HNAP. La référence GitHub fournit un script de connexion qui l'exploite.
Le DHP-W610AV est un adaptateur CPL avec Wi-Fi. Un mot de passe vide dans la configuration d'usine signifie que tout équipement jamais reconfiguré est administrable par quiconque atteint son interface.
Ce qu'impliquent ces failles
Les cinq premières concernent des paramètres de formulaires web recopiés sans contrôle de longueur ou de contenu. Sur ces firmwares, le serveur web tourne généralement avec les privilèges maximaux du système : une exécution de code via l'interface donne en pratique le contrôle complet de l'équipement. C'est ce que traduit le S:C (changement de périmètre) des vecteurs VulDB.
L'exposition réelle dépend d'un point que les vecteurs ne disent pas : l'interface d'administration est-elle joignable depuis Internet ? Si elle ne l'est que depuis le LAN, l'attaquant doit déjà être sur le réseau local — ou passer par une page web qui fait envoyer des requêtes au routeur par le navigateur d'un utilisateur.
Exploits publics, firmwares anciens (le build A950RG date de novembre 2022 d'après son nom), aucun correctif annoncé : ces équipements sont des cibles naturelles pour les botnets qui recrutent des routeurs. C'est une déduction, pas un fait rapporté par NVD : aucune exploitation n'est documentée dans ces entrées.
Versions affectées
NVD ne fournit aucune configuration CPE ni version corrigée pour ces six CVE. Les descriptions citent un seul build par équipement (colonne « Firmware cité » ci-dessus) : cela ne veut pas dire que les autres versions sont saines, seulement qu'elles n'ont pas été testées.
Vérifie la page support de chaque modèle chez TOTOLINK, Tenda et D-Link. Un équipement en fin de vie ne recevra probablement jamais de correctif.
Détection
- Inventaire : rechercher ces modèles sur le réseau (bureaux distants, domiciles des télétravailleurs, salles de réunion).
- Exposition : vérifier qu'aucune interface d'administration n'est joignable depuis Internet (ports HTTP/HTTPS de gestion à distance).
- Requêtes suspectes dans les journaux, quand ils existent :
/cgi-bin/cstecgi.cgi(TOTOLINK) et/goform/SetFirewallCfgou/goform/WifiBasicSet(Tenda) avec des paramètres anormalement longs ou contenant des caractères de commande shell. - Comportement : trafic sortant inhabituel depuis l'équipement, DNS modifiés, redémarrages inexpliqués.
Mitigation
- Désactiver l'administration à distance sur tous ces équipements.
- D-Link DHP-W610AV : définir un mot de passe d'administration fort, tout de suite.
- Changer les mots de passe d'usine partout, en particulier sur le Tenda BE3L Pro (faille authentifiée).
- Isoler les équipements qui ne peuvent pas être mis à jour dans un segment séparé, sans accès aux postes et serveurs.
- Remplacer les modèles sans firmware corrigé. Un routeur grand public n'a rien à faire dans le réseau d'une entreprise.
Pourquoi surveiller en continu vos équipements réseau
Ces six CVE ne passeront jamais par une analyse NIST et ne seront jamais associées à un CPE : une veille qui ne s'appuie que sur les correspondances CPE ne les verra pas. Il faut chercher aussi par nom de produit.
Avec cveo.tech, inventorie tes routeurs, répéteurs et adaptateurs CPL avec leur modèle exact, et reçois une alerte dès qu'une CVE les cite, même quand NVD ne l'a pas analysée.