湖北
2026年10月1日，华硕官方推送路由器固件安全更新，紧急修复两项高危远程命令执行漏洞（请参阅上图）。这两项漏洞的利用前提均为攻击者已获取路由器Web管理界面的登录权限，截至目前，华硕暂未监测到该系列漏洞在真实网络环境中的被黑客实际利用的案例。
编号为CVE-2026-14157的漏洞为外部可控格式字符串漏洞，风险等级极高。已完成认证的远程攻击者，可通过路由器Web管理界面上传精心构造的恶意文件，绕过设备安全校验，最终执行任意系统命令。
据公开安全溯源信息显示，该漏洞触发入口对应设备的VPN客户端配置文件导入功能。设备固件在解析导入的VPN配置文件时，会错误地将文件内的特殊构造文本识别为系统格式指令，而非普通数据内容，进而触发格式字符串漏洞，被攻击者利用实现恶意命令执行。
该漏洞CVSS 4.0版本评分高达9.4分（满分10分），属于严重级别漏洞，主要影响3.0.0.6_102版本固件系列。华硕官方明确建议用户，仅从官方、可信合作渠道导入VPN客户端配置文件，坚决杜绝使用网络公开分享、来源未知、无法核验安全性的配置文件。
编号为CVE-2026-13313的漏洞为残留调试代码缺陷（CWE-489），与CVE-2026-14157相互独立、无关联。
拥有Web管理界面登录权限的远程攻击者，可通过发送特制HTTP请求，绕过设备原有安全防护机制，非法开启设备Telnet调试服务，最终获取设备root最高权限并执行任意系统命令，甚至可横向渗透、影响同一局域网内连接该路由器的所有终端设备。该漏洞CVSS 4.0评分为8.9分，属于高危漏洞，影响3.0.0.4_386、3.0.0.4_388、3.0.0.6_102三大固件版本系列。
本次披露的两项安全风险，仅针对路由器本地导入VPN配置的专属使用场景，与手机、电脑等终端设备上运行的VPN客户端应用无关联。简单来说，仅当用户通过服务商配置文件，将路由器设置为VPN客户端模式时，该配置导入接口才会成为风险攻击入口。
该风险接口与2024年曝光的CVE-2024-0401漏洞攻击入口一致，均通过恶意构造OVPN配置文件实现攻击，充分说明Web管理界面配置文件导入模块是华硕路由器长期存在的高频薄弱点。
针对上述漏洞风险，华硕给出多重安全防护方案，首要修复方式为立即升级设备至官方最新固件版本。同时，用户需配置长度不少于10位、包含大小写字母、数字、特殊符号的唯一高强度管理员密码，避免密码复用、弱密码等安全问题。
此外，禁止在局域网内任何设备上运行来源不明、未经核验的脚本、工具及自定义命令，防范攻击者通过社会工程学手段，诱导管理员执行恶意操作、对接管理界面触发漏洞。
针对已停止官方技术支持、无法获取固件更新的老旧路由器设备，华硕建议用户通过强化登录凭证降低风险，设置独立、高强度的路由器管理登录密码及Wi-Fi连接密码，规避非法入侵风险。用户可通过华硕官方支持页面、对应产品详情页查询适配固件版本，完成安全升级。
总体而言，此次华硕紧急修复的两项漏洞虽均需已登录权限作为前提，但CVSS评分最高达9.4，风险不容忽视，尤其是VPN配置导入接口已成为反复被利用的薄弱环节。建议用户尽快升级固件、强化密码，并杜绝导入来源不明的配置文件。
小编将在第一时间分享更多相关最新动态和爆料，敬请关注。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
