CVE-2026-124058: buffer overflow nel TOTOLINK CA300-PoE via Wi-Fi repeater, come mitigare

Una nuova vulnerabilità, CVE-2026-124058, colpisce l'access point TOTOLINK CA300-PoE con firmware 6.2c.884. È un buffer overflow nella funzione setWiFiRepeaterConfig, raggiungibile da remoto tramite la pagina /cgi-bin/cstecgi.cgi. Il punteggio CVSS è 9.1, gravità critica, e l'exploit è già pubblico. Non risulta al momento nel catalogo KEV di CISA. Se usi questo dispositivo in azienda, qui sotto trovi come capire se sei esposto e cosa fare.

Cosa è successo: la vulnerabilità CVE-2026-124058 in TOTOLINK CA300-PoE

La descrizione ufficiale indica che la funzione setWiFiRepeaterConfig del file /cgi-bin/cstecgi.cgi non controlla correttamente la lunghezza del parametro ApCliKeyStr, cioè la chiave Wi-Fi usata nella modalità repeater. Inviando un valore manipolato si provoca un buffer overflow. L'attacco può essere lanciato da remoto e un codice di prova (proof of concept) è stato reso pubblico, quindi può essere riutilizzato da chiunque.

È la seconda falla dello stesso tipo segnalata su questo modello in pochi giorni. Ho descritto la prima, che riguarda un'altra funzione dello stesso CGI, nell'articolo su CVE-2026-124060 nel TOTOLINK CA300-PoE. Le mitigazioni sono in gran parte le stesse e vanno applicate una volta sola per entrambe.

Chi è colpito: versioni vulnerabili di TOTOLINK CA300-PoE

• Prodotto: TOTOLINK CA300-PoE (access point con alimentazione PoE).
• Versione indicata come vulnerabile: firmware 6.2c.884.

Non è noto se altre versioni del firmware o altri modelli della stessa famiglia condividano lo stesso codice. Va verificato sull'advisory del produttore. In assenza di informazioni, consiglio di considerare esposto qualsiasi CA300-PoE non aggiornato a una versione dichiarata corretta.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore è CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H, punteggio 9.1. In pratica:

• AV:N, AC:L: attacco via rete, senza condizioni particolari.
• PR:H: servono privilegi elevati, cioè l'accesso all'interfaccia di amministrazione. Non è una falla sfruttabile da anonimo. Resta però critica, perché molti di questi dispositivi girano con la password di fabbrica o con credenziali deboli.
• S:C: l'impatto esce dal perimetro del componente colpito. Un overflow nel processo del CGI può portare al controllo del dispositivo e della rete che gestisce.
• C:H, I:H, A:H: compromissione totale di riservatezza, integrità e disponibilità.

Cosa ottiene un attaccante: nel caso minimo un crash del servizio web e il riavvio dell'apparato (DoS). Nel caso peggiore l'esecuzione di codice sull'access point, con possibilità di intercettare o deviare il traffico Wi-Fi e di usarlo come testa di ponte verso la rete interna. Non risulta sfruttamento attivo censito nel catalogo KEV di CISA, ma l'exploit pubblico riduce molto il tempo che separa la pubblicazione dagli attacchi reali.

Come capire se sei esposto: verifica versione, esposizione e log

Versione del firmware

Accedi all'interfaccia web dell'access point e apri la pagina di stato o di informazioni di sistema. Il numero di firmware è riportato lì. Se leggi 6.2c.884 il dispositivo è vulnerabile.

Esposizione su internet

La condizione che rende il problema serio è la raggiungibilità dell'interfaccia di gestione dall'esterno. Controlla:

1. Sul router di frontiera, se esistono port forwarding o regole NAT verso l'indirizzo dell'access point sulle porte 80 e 443.
2. Da una rete esterna (per esempio una connessione mobile), un test con nmap -p 80,443 TUO_IP_PUBBLICO: se le porte rispondono con la pagina di login TOTOLINK, l'esposizione è confermata.
3. Se la gestione remota è abilitata nelle impostazioni del dispositivo stesso.

Log e indicatori di compromissione

Il log interno di questi apparati è limitato. Guarda piuttosto i log del firewall o del reverse proxy, cercando richieste verso /cgi-bin/cstecgi.cgi con il parametro topicurl impostato a setWiFiRepeaterConfig, soprattutto se il campo ApCliKeyStr ha una lunghezza anomala. Altri segnali: riavvii inattesi, configurazione repeater modificata senza che nessuno l'abbia fatto, sessioni di amministrazione da indirizzi sconosciuti, traffico in uscita dall'access point verso destinazioni insolite.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

Una versione di firmware corretta non è indicata nelle fonti consultate. Va verificata sulla pagina di supporto e download di TOTOLINK per il modello CA300-PoE. Se il produttore ha pubblicato un aggiornamento che cita CVE-2026-124058, applicalo seguendo la procedura ufficiale, dopo aver salvato la configurazione corrente.

Finché una patch non è disponibile, l'unico rimedio concreto è ridurre la superficie d'attacco con le mitigazioni descritte nel paragrafo seguente. Per dispositivi fuori supporto o che non riceveranno aggiornamenti, la sostituzione con un modello mantenuto è la scelta più sensata.

Cosa fare subito: mitigazioni e hardening

1. Togli l'interfaccia di gestione da internet. Elimina port forwarding e gestione remota. L'amministrazione deve avvenire solo dalla LAN o tramite VPN.
2. Cambia la password di amministrazione con una lunga e unica. Dato che la falla richiede privilegi elevati, una credenziale robusta è la barriera principale.
3. Limita l'accesso alla pagina di gestione a una VLAN o a pochi indirizzi IP di amministrazione, con una regola sul firewall o sullo switch.
4. Disattiva la modalità repeater se non la usi: la funzione vulnerabile fa parte di quella configurazione.
5. Segmenta la rete: il Wi-Fi ospiti e i dispositivi IoT non devono vedere server, gestionali e postazioni.
6. Monitora le richieste verso cstecgi.cgi e i riavvii dell'apparato.
7. Se hai già rilevato accessi sospetti, ruota le credenziali dell'access point, della rete Wi-Fi e degli eventuali account che hanno transitato su quella rete.

Se sospetti una compromissione: incident response e analisi forense

Se trovi tracce di sfruttamento, non riavviare e non riportare l'apparato alle impostazioni di fabbrica: cancelleresti gli elementi utili a capire cosa è successo. Isola il dispositivo scollegandolo dalla rete ma lasciandolo acceso, esporta e conserva i log del firewall e di tutti i sistemi collegati, annota data e ora di ogni azione. Dove possibile si procede con una copia forense della memoria e della configurazione prima di qualsiasi ripristino.

Se dalla rete compromessa transitavano dati personali, valuta con chi gestisce la privacy l'obbligo di notifica al Garante entro 72 ore previsto dal GDPR. Nello studio seguo interventi di incident response con analisi delle cause e relazione tecnica utilizzabile anche in sede legale o assicurativa; i costi indicativi vanno da 1.500 a 6.000 € a prezzo fisso, +50% per le urgenze. Trovi i dettagli nella pagina dei servizi dello studio.

Fonti ufficiali

• NVD (National Vulnerability Database): scheda CVE-2026-124058, pubblicata il 7 novembre 2026, con vettore CVSS 3.1 e descrizione ufficiale.
• CISA Known Exploited Vulnerabilities Catalog: al momento la voce non è presente, da ricontrollare periodicamente.
• GitHub Security Advisories: riferimento al codice di prova reso pubblico.
• Pagina di supporto TOTOLINK per il modello CA300-PoE: da consultare per la disponibilità di firmware corretti.

Hai un TOTOLINK CA300-PoE in rete e vuoi una verifica?

Posso controllare l'esposizione dei tuoi apparati di rete, applicare le mitigazioni e impostare una segmentazione che limiti i danni anche per le prossime vulnerabilità. Lavoro di persona a Varese, Como, Milano e Nord Lombardia, da remoto nel resto d'Italia. Richiedi un preventivo gratuito, rispondo entro 24 ore, oppure scrivimi dalla pagina contatti, anche su WhatsApp.