TOTOLINK A950RG, Oray X5 Pro, Unitree Go2 : 8 CVE critiques avec exploit public dans des équipements embarqués

Entre le 24 et le 26 octobre 2026, NVD a reçu huit CVE critiques visant trois équipements embarqués : le routeur TOTOLINK A950RG, le routeur Oray Pugongying X5 Pro et le robot quadrupède Unitree Go2. Toutes ont été déposées par VulDB (CNA), et pour toutes, la description indique que l'exploit a été rendu public.

Le A950RG n'est pas un inconnu : le même firmware était déjà concerné par CVE-2026-114575, couverte dans notre point sur les routeurs SOHO d'octobre. Quatre nouvelles failles s'y ajoutent.

Tous les scores viennent de VulDB. Les CVE TOTOLINK sont en statut NVD Received, celles d'Oray et d'Unitree en Deferred : aucune n'a de configuration CPE. Aucune n'est au catalogue CISA KEV à la date de rédaction.

TOTOLINK A950RG — quatre CVE sur le firmware 4.1.2cu.5268_B20221104

CVE-2026-116508 — vecteur AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H (10.0). Débordement de pile dans la fonction sub_402340 de infostat.cgi (CGI d'informations sur l'équipement), via la variable CONTENT_LENGTH. C'est la plus grave du lot : aucune authentification requise d'après le vecteur, et la valeur manipulée est un en-tête HTTP standard, que n'importe quel client envoie.

CVE-2026-116506 — vecteur AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H (9.9). Injection de commande dans la fonction apmib_set de firewall.so.

CVE-2026-116504 — vecteur AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H (9.9). Injection de commande dans setCloudUpgradeFW de lib/cste_modules/upgrade.so (mise à jour « cloud » du firmware), via le paramètre FileName.

CVE-2026-116505 — vecteur AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H (9.1). Injection de commande dans getDeviceInfo, via l'adresse MAC lue dans /var/lib/misc/udhcpd.leases, le fichier des baux DHCP. Autrement dit, une valeur qui vient des clients du réseau finit dans une commande système. Le vecteur exige des privilèges élevés.

Oray Pugongying X5 Pro — trois injections CRLF sur la version 7.6.1

Trois failles de même nature : un paramètre accepte des retours à la ligne, qui sont ensuite écrits tels quels dans le fichier de configuration d'un service système. L'attaquant peut ainsi y ajouter ses propres directives.

• CVE-2026-116231 — AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H (9.9) : composant ser2net, paramètre regmsg. Le rapport du chercheur cité en référence est intitulé comme une réécriture de fichiers existants par ser2net.
• CVE-2026-116234 — AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H (9.1) : gestion des politiques IPsec, fichier /etc/ipsec.conf, paramètre secproto. Le rapport cité en référence la présente comme une exécution de code root.
• CVE-2026-116233 — AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H (9.1) : composant Dnsmasq, paramètre rent_time (durée de bail DHCP).

Point important : selon les descriptions, Oray a été contacté avant la publication et n'a pas répondu. Aucun correctif n'est annoncé.

Unitree Go2 — CVE-2026-115995

Vecteur : AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H (9.6)

Injection de commande OS dans la fonction set_volume du fichier gpt_thread.py, composant chat_go, via l'argument Value. Le vecteur n'exige aucun privilège mais une interaction de l'utilisateur (UI:R).

C'est la seule des huit à avoir une issue claire : Unitree a confirmé la faille (ticket interne 474) et la description indique que la version 1.1.11.5 la corrige. Les versions affectées vont jusqu'à la 1.1.11.4 incluse.

Ce qu'impliquent ces failles

Sur ces équipements, les services touchés (CGI web, Dnsmasq, IPsec, ser2net) tournent généralement avec les droits maximaux du système. Une injection de commande ou de directive s'y traduit en pratique par le contrôle complet de l'équipement, ce que reflète le S:C de tous les vecteurs.

Les vecteurs à privilèges élevés ou faibles ne sont pas rassurants pour autant sur ce type de matériel : l'authentification se réduit souvent à un mot de passe d'administration unique, parfois celui d'usine. Et un exploit public sur un routeur sans correctif est une cible naturelle pour les botnets — c'est une déduction : aucune exploitation n'est documentée dans ces entrées NVD.

Versions affectées

Pour TOTOLINK et Oray, les descriptions ne citent qu'une seule version testée : cela ne veut pas dire que les autres sont saines. Vérifie la page support de chaque modèle.

Détection

• Inventaire : rechercher ces modèles sur le réseau, y compris dans les sites distants et chez les télétravailleurs. Pour le Go2, relever la version du firmware.
• Exposition : vérifier qu'aucune interface d'administration n'est joignable depuis Internet.
• Requêtes suspectes dans les journaux, quand ils existent : appels à infostat.cgi avec un Content-Length anormal, paramètres FileName contenant des caractères de commande shell.
• Configuration (Oray) : relire ipsec.conf, la configuration Dnsmasq et celle de ser2net à la recherche de directives que tu n'as pas posées.
• Comportement : trafic sortant inhabituel, DNS modifiés, redémarrages inexpliqués.

Mitigation

1. Unitree Go2 : mettre à jour en 1.1.11.5 ou plus récent.
2. Désactiver l'administration à distance des routeurs TOTOLINK et Oray.
3. Changer les mots de passe d'administration d'usine : la plupart de ces failles demandent un compte, même faible.
4. Isoler les équipements sans correctif dans un segment séparé, sans accès aux postes et serveurs.
5. Remplacer les modèles qui ne recevront pas de correctif, en particulier quand l'éditeur ne répond pas aux signalements.

Pourquoi surveiller en continu tes équipements embarqués

Ces huit CVE n'ont pas de CPE et la plupart ne seront jamais analysées par NIST : une veille qui ne s'appuie que sur les correspondances CPE ne les verra pas. Il faut chercher aussi par nom de produit.

Avec cveo.tech, inventorie tes routeurs et objets connectés avec leur modèle et leur version, et reçois une alerte dès qu'une CVE les cite, même quand NVD ne l'a pas analysée.