CVE-2026-124060: buffer overflow nel TOTOLINK CA300-PoE, come verificare e mitigare

La vulnerabilità CVE-2026-124060 riguarda il firmware 6.2c.884 del dispositivo di rete TOTOLINK CA300-PoE. Un buffer overflow nella funzione UploadCustomModule del file /cgi-bin/cstecgi.cgi può essere innescato da remoto manipolando il parametro File. Il punteggio CVSS è 9.1 (critico) e l'exploit è pubblico. Non risulta nel catalogo CISA KEV. Se hai questo apparato in azienda, verifica subito che l'interfaccia di amministrazione non sia raggiungibile da internet e controlla sull'advisory del produttore se esiste un firmware corretto.

Cosa è successo: la vulnerabilità CVE-2026-124060 in TOTOLINK CA300-PoE

Il componente coinvolto è l'interfaccia CGI del firmware, in particolare la funzione UploadCustomModule esposta tramite /cgi-bin/cstecgi.cgi. Il parametro File non viene validato in modo adeguato: un valore costruito ad arte provoca un buffer overflow. In pratica il firmware scrive in memoria oltre lo spazio previsto. Questa classe di difetti, in un dispositivo embedded, porta spesso al crash del servizio o all'esecuzione di codice con i privilegi del processo che gestisce il pannello web. Il codice di exploit è già disponibile pubblicamente, quindi la barriera tecnica per un attaccante è bassa.

Chi è colpito: versioni vulnerabili di TOTOLINK CA300-PoE

La descrizione ufficiale indica come colpito il TOTOLINK CA300-PoE con firmware 6.2c.884. Non è nota, al momento, una lista di altre versioni o altri modelli interessati. Se usi un firmware diverso sullo stesso dispositivo, o un altro modello TOTOLINK che condivide lo stesso cstecgi.cgi, non dare per scontato di essere al sicuro: verifica sull'advisory del produttore e sulla scheda NVD, che vengono aggiornate quando emergono nuovi dettagli.

Quanto è grave: punteggio CVSS e sfruttamento attivo

Il vettore è CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H. Letto in modo pratico:

• AV:N, AC:L: attacco via rete, senza condizioni particolari.
• PR:H: servono privilegi elevati, cioè l'accesso al pannello di amministrazione. Questo riduce il rischio solo se le credenziali sono robuste e non sono quelle di fabbrica.
• UI:N: nessuna azione richiesta a un utente.
• S:C: l'impatto può uscire dal perimetro del componente vulnerabile e coinvolgere il resto del dispositivo o della rete.
• C:H/I:H/A:H: compromissione totale di riservatezza, integrità e disponibilità.

Cosa ottiene un attaccante: nel caso peggiore il controllo del dispositivo, con possibilità di intercettare o dirottare il traffico che lo attraversa, modificare la configurazione, usarlo come punto d'appoggio verso la LAN, oppure semplicemente renderlo inutilizzabile (DoS). La vulnerabilità non risulta nel catalogo CISA KEV, quindi non c'è conferma di sfruttamento attivo. Con un exploit pubblico, però, la situazione può cambiare in fretta.

Come capire se sei esposto: verifica versione, esposizione e log

Verifica della versione firmware

Accedi al pannello web del CA300-PoE dalla LAN e cerca la versione firmware nella pagina di stato o nelle informazioni di sistema. Se leggi 6.2c.884, sei nella versione indicata come vulnerabile. Se il valore è diverso, annotalo e confrontalo con l'advisory del produttore.

Verifica dell'esposizione su internet

• Controlla nelle impostazioni del dispositivo se la gestione remota (accesso al pannello dall'interfaccia WAN) è attiva. Dovrebbe essere disattivata.
• Da una rete esterna (per esempio da smartphone con rete mobile) prova a raggiungere l'IP pubblico dell'azienda sulle porte 80 e 443. Se risponde il pannello TOTOLINK, sei esposto.
• Da un host esterno puoi usare nmap -p 80,443,8080 IP_PUBBLICO per vedere quali porte rispondono. Controlla anche eventuali port forwarding sul firewall perimetrale che puntino al dispositivo.

Log e indicatori di compromissione

I dispositivi di questa fascia hanno log limitati. Guarda comunque:

• Log del firewall o del reverse proxy a monte: richieste verso /cgi-bin/cstecgi.cgi con riferimenti a UploadCustomModule o con parametri File anomali e molto lunghi.
• Riavvii inattesi o blocchi del pannello web, compatibili con un overflow riuscito o fallito.
• Modifiche di configurazione non autorizzate: DNS cambiati, nuove regole di port forwarding, utenti amministrativi sconosciuti, password che non funzionano più.
• Traffico in uscita dal dispositivo verso destinazioni non previste.

Come risolvere la vulnerabilità: patch, aggiornamento e rimedio

La disponibilità di un firmware corretto non è nota. Il brief non indica una versione risolutiva: va verificata sul sito di supporto TOTOLINK, nella pagina dedicata al modello CA300-PoE. Se il produttore ha pubblicato un aggiornamento che cita CVE-2026-124060 o il problema in cstecgi.cgi, scaricalo solo dal sito ufficiale, verificane l'integrità se viene fornito un hash e applicalo dal pannello di amministrazione, con il dispositivo alimentato in modo stabile. Dopo l'aggiornamento ricontrolla la versione mostrata nella pagina di stato.

Finché la patch non è disponibile, l'unico rimedio è ridurre la superficie di attacco con le misure della sezione seguente. Se il dispositivo è fuori supporto, valuta la sostituzione: un apparato di rete senza aggiornamenti di sicurezza è un rischio permanente, non temporaneo.

Cosa fare subito: mitigazioni e hardening

1. Disattiva la gestione remota dalla WAN e rimuovi ogni port forwarding verso il pannello del dispositivo. Questa misura da sola blocca lo scenario di attacco diretto da internet.
2. Cambia le credenziali di amministrazione. Il vettore richiede privilegi elevati: una password di fabbrica o debole annulla questa protezione. Usa una password lunga e unica.
3. Limita l'accesso al pannello a una VLAN di gestione o a pochi indirizzi IP interni, se il dispositivo o il firewall lo permettono.
4. Segmenta la rete: il dispositivo non deve trovarsi sullo stesso segmento di server, gestionali e postazioni amministrative.
5. Monitora: attiva, dove possibile, l'invio dei log a un syslog centrale e controlla i tentativi di accesso al pannello.
6. Censisci gli altri apparati TOTOLINK in azienda e applica le stesse regole, in attesa di conferme dal produttore.

Il problema è ricorrente nei dispositivi di rete di fascia economica, come ho già descritto per il caso CVE-2026-120279 nel router WAVLINK WN536AX6-A: pannello web esposto, credenziali deboli e nessun aggiornamento sono la combinazione da evitare.

Se sospetti una compromissione: incident response e analisi forense

Se trovi configurazioni alterate, utenti sconosciuti o traffico anomalo, non riavviare e non resettare il dispositivo: perderesti la configurazione modificata e le tracce in memoria, che sono proprio le prove utili. Procedi così:

• Isola il dispositivo scollegando il cavo WAN, lasciandolo alimentato.
• Esporta e conserva la configurazione corrente, i log del dispositivo e quelli di firewall e syslog, annotando data e ora.
• Fotografa le schermate del pannello che mostrano le anomalie.
• Considera compromesse le credenziali salvate sul dispositivo e tutto il traffico che lo ha attraversato: ruota password e chiavi (Wi-Fi, VPN, account di gestione).
• Valuta se ci sono dati personali coinvolti: in quel caso il GDPR prevede obblighi di notifica al Garante con tempi stretti.

In uno scenario del genere eseguo l'acquisizione forense di ciò che il dispositivo permette di estrarre e dei sistemi a valle, così da ricostruire cosa è accaduto e produrre documentazione utile anche in sede assicurativa o giudiziaria. Il servizio di incident response, secondo il listino dello studio, va da 1.500 a 6.000 € con preventivo a prezzo fisso; trovi il dettaglio di questo e degli altri interventi nella pagina dei servizi dello studio.

Fonti ufficiali

• Scheda CVE-2026-124060 sul National Vulnerability Database (NVD), con vettore CVSS e descrizione ufficiale.
• Catalogo CISA Known Exploited Vulnerabilities, da consultare per verificare se la vulnerabilità viene aggiunta tra quelle sfruttate.
• Sito di supporto TOTOLINK per il modello CA300-PoE, per la disponibilità di firmware corretti.

Cerca l'identificativo esatto sulle fonti indicate: le informazioni su patch e sfruttamento attivo possono essere aggiornate dopo la pubblicazione di questo articolo.

Hai un TOTOLINK CA300-PoE in azienda e non sai se è esposto?

Posso verificare l'esposizione dei tuoi apparati di rete, mettere in sicurezza il perimetro e, se serve, gestire un incidente con metodo forense. Richiedi un preventivo gratuito: rispondo entro 24 ore. Per un confronto rapido puoi usare la pagina contatti, anche via WhatsApp.