Le 20 octobre 2026, NVD a reçu d'un coup 30 CVE visant un seul routeur, le TOTOLINK X2000R, toutes déclarées par Cisco Talos (CNA talos-cna@cisco.com) et toutes notées 9.1 (CRITICAL). Elles portent sur une seule version de firmware, TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327, et presque toutes sur le même binaire : le serveur web embarqué boa, qui sert l'interface d'administration.
Ce qui rend le lot intéressant n'est pas le nombre, c'est sa composition : des injections de commandes, des débordements de pile et de tas, une écriture de fichier arbitraire, et surtout CVE-2026-10141, une mise à jour de firmware qui n'exige pas de signature. Autrement dit, la chaîne complète « exécuter du code » puis « rester sur l'équipement » se trouve dans le même lot.
La vulnérabilité, en résumé
| Champ | Valeur |
|---|---|
| Produit | TOTOLINK X2000R |
| Firmware cité | TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 |
| Composant | Serveur web boa (et les fonctions Mcli et batchupg) |
| Score CVSS 3.1 | 9.1 (CRITICAL), attribué par Talos |
| Vecteur | CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H |
| Authentification | Requise, avec privilèges élevés (PR:H) |
| Statut NVD | Received : pas encore analysé par NVD, aucune configuration CPE |
| Rapports | TALOS-2026-2387 à TALOS-2026-2440 |
Les 30 CVE partagent exactement le même score et le même vecteur. Le score provient de Talos : NVD ne l'a pas encore confirmé.
Les 30 CVE par fonction vulnérable
| Fonction boa / composant | Paramètre | CVE | CWE |
|---|---|---|---|
| Mise à jour de firmware | — | CVE-2026-10141 | CWE-347 (signature non vérifiée) |
formUpload() | — | CVE-2026-10138 | CWE-78 (injection de commande) |
formUpload() | — | CVE-2026-10137 | CWE-121 (pile) |
formUpload() | — | CVE-2026-10136 | CWE-122 (tas) |
formUploadFile | — | CVE-2026-9827 | CWE-22 (écriture de fichier arbitraire) |
formUploadFile | — | CVE-2026-9817 | CWE-121 |
batchupg | — | CVE-2026-10135 | CWE-78 |
batchupg | — | CVE-2026-10133 | CWE-121 |
Mcli | — | CVE-2026-10139 | CWE-121 |
formPasswordSetup | — | CVE-2026-10131 | CWE-78 |
formWizard | newPass | CVE-2026-9814 | CWE-78 |
formWsc | targetAPSsid | CVE-2026-40627 | CWE-78 |
formWsc | peerRptPin | CVE-2026-35499 | CWE-78 |
formMapDelDevice | macstr | CVE-2026-33568 | CWE-78 |
formMapDelDevice | macstr | CVE-2026-41223 | CWE-121 |
formMapDelDevice | hostname | CVE-2026-28763 | CWE-121 |
formParentControl | url | CVE-2026-41222 | CWE-121 |
formParentControl | deviceName | CVE-2026-40615 | CWE-121 |
formIpQos | mac | CVE-2026-10132 | CWE-121 |
formTR069Config | — | CVE-2026-9869 | CWE-121 |
formFilter | vpnUser / vpnPassword | CVE-2026-9659, CVE-2026-9660 | CWE-121 |
formIpv6Setup (DHCP) | dhcp_dns1 / dhcp_dns2 | CVE-2026-42025, CVE-2026-42026 | CWE-121 |
formIpv6Setup (statique) | static_dns1, static_dns2, static_ipv6, static_gw | CVE-2026-42021, CVE-2026-42022, CVE-2026-42023, CVE-2026-42024 | CWE-121 |
formIpv6Setup (PPPoE) | pppoe_dns1 / pppoe_dns2 | CVE-2026-42019, CVE-2026-42020 | CWE-121 |
Sept injections de commandes système, vingt et un débordements de tampon (dont un sur le tas), une écriture de fichier arbitraire, une mise à jour de firmware non signée. Toutes les descriptions NVD aboutissent au même résultat : exécution de code arbitraire à partir d'une requête HTTP forgée, sauf CVE-2026-10141 qui permet d'installer un firmware arbitraire.
Pourquoi « authentifié » ne veut pas dire « sans risque »
Chaque description précise que l'attaquant doit envoyer une requête HTTP authentifiée, et le vecteur Talos indique PR:H : il faut un compte d'administration. C'est la vraie barrière, et c'est ce qui sépare ce lot des injections non authentifiées qu'on a vues sur d'autres modèles TOTOLINK, comme le lot A8000RU de mai.
Le score reste à 9.1 parce que Talos a coté un changement de portée (S:C) : l'attaquant ne compromet pas seulement l'application web, il obtient l'exécution de code sur le système du routeur, donc sur tout ce qui transite par lui.
En pratique, la barrière PR:H tombe dans trois cas courants :
- Mot de passe d'administration par défaut ou faible, jamais changé après l'installation.
- Interface d'administration exposée côté WAN : le mot de passe devient alors la seule protection, face à des scanners qui essaient en boucle les identifiants connus.
- Accès déjà obtenu par un autre moyen (poste compromis sur le LAN, ancien prestataire, identifiants réutilisés).
CVE-2026-10141 : le firmware non signé
C'est la CVE à lire en premier. NVD la décrit comme une vulnérabilité de type Unsigned Firmware dans la fonction de mise à jour de boa : un binaire de firmware spécialement construit permet une mise à jour de firmware arbitraire.
Combinée à n'importe laquelle des 29 autres, elle change la nature de l'incident. Une exécution de code en mémoire disparaît souvent au redémarrage ; un firmware modifié, lui, survit au redémarrage et à une réinitialisation de configuration. C'est une déduction, pas un fait rapporté par Talos, mais c'est ce qui justifie de traiter un X2000R suspect comme un équipement à remplacer ou à reflasher depuis une image officielle vérifiée, pas simplement à redémarrer.
Versions affectées
| Produit | Firmware cité par Talos |
|---|---|
| TOTOLINK X2000R | TOTOLINK-X2000R-Gh-V1.0.0-B20250421.1327 |
NVD n'a pas encore analysé ces CVE : aucune plage CPE n'est publiée et aucune version corrigée n'apparaît dans les données NVD. Seule la version de firmware testée par Talos est nommée ; cela ne signifie pas que les versions antérieures sont saines. Consulte les rapports Talos (TALOS-2026-2387 à 2440) et le site de TOTOLINK pour savoir si un firmware correctif existe pour ton modèle.
Détection
- Inventaire : repère les X2000R dans ton parc et note la version de firmware affichée dans l'interface d'administration.
- Exposition : vérifie depuis l'extérieur que l'interface web d'administration n'est pas joignable côté WAN.
- Journaux : le routeur conserve peu de traces, mais des connexions réussies à l'interface d'administration depuis une adresse inhabituelle, ou une mise à jour de firmware que personne n'a lancée, sont des signaux forts.
- Trafic sortant : un routeur qui initie des connexions vers des destinations inconnues (téléchargement de binaires, connexions persistantes) doit être isolé.
Mitigation
- Change le mot de passe d'administration pour un secret long et unique, sur chaque équipement.
- Désactive l'administration à distance côté WAN. Si elle est indispensable, restreins-la à quelques adresses sources.
- Limite l'accès à l'interface sur le LAN aux postes d'administration, si le modèle le permet.
- Désactive TR-069 si tu ne l'utilises pas :
formTR069Configfait partie des fonctions vulnérables. - Applique un firmware correctif dès que TOTOLINK en publie un, en le téléchargeant uniquement depuis le site officiel : CVE-2026-10141 montre que l'équipement ne vérifie pas lui-même l'authenticité de l'image.
- En cas de doute sur une compromission, reflashe depuis une image officielle ou remplace l'équipement, puis change tous les secrets qui ont transité par lui (Wi-Fi, VPN, PPPoE).
Pourquoi surveiller en continu tes équipements réseau grand public
Les routeurs grand public et TPE sont rarement dans l'inventaire de la DSI, et leurs vulnérabilités arrivent par vagues : trente CVE le même jour pour un seul modèle, publiées par un chercheur tiers, sans configuration CPE pendant des semaines. Personne ne lit ces flux à la main.
Avec cveo.tech, déclare tes équipements réseau avec leur modèle et leur version de firmware, et reçois une alerte dès qu'une CVE les concerne, y compris quand NVD ne l'a pas encore analysée.