文章总结： Zyxel发布紧急安全补丁，修复其4GLTE/5GNRCPE、DSL/以太网路由器、光纤ONT和无线扩展器产品线中的多个漏洞。其中最严重的是CVE-2025-13942（CVSS9.8），存在于UPnP功能中，远程攻击者可通过特制SOAP请求绕过认证执行操作系统命令。另有两个身份验证后命令注入漏洞（CVE-2025-13943和CVE-2026-1459）及三个拒绝服务漏洞。由于设备默认禁用广域网访问，大规模远程利用受限。建议用户立即安装补丁，禁用不必要的远程访问和UPnP服务，并使用强密码。 综合评分： 85 文章分类： 漏洞预警,IoT安全,网络安全,渗透测试,应急响应

Zyxel 严重缺陷（CVSS 9.8）使路由器易受远程命令注入攻击

sec随谈 sec随谈

sec随谈

2026年2月25日 08:50 北京

网络巨头 Zyxel 发布了一系列紧急安全补丁，修复了其 4G LTE/5G NR 客户端设备 (CPE)、DSL/以太网路由器、光纤光网络终端 (ONT) 和无线扩展器产品线中的多个漏洞。此次更新涵盖了多种拒绝服务 (DoS) 攻击和命令注入漏洞，但其中一个关键漏洞尤为突出，它可能导致远程攻击者完全控制受影响的设备。

强烈建议用户安装最新发布的补丁，以保持对潜在的远程代码执行和服务中断的最佳保护。

该安全公告中最严重的漏洞是 CVE-2025-13942，其 CVSS 评分接近最高分 9.8。此严重缺陷存在于受影响的电信设备的通用即插即用 (UPnP) 功能中。

如果成功利用该漏洞，攻击者可以完全绕过身份验证并接管系统。

Zyxel 安全公告：“某些 4G LTE/5G NR CPE、DSL/以太网 CPE、光纤 ONT 和无线扩展器固件版本的 UPnP 功能中存在命令注入漏洞，远程攻击者可能通过发送特制的 UPnP SOAP 请求，在受影响的设备上执行操作系统 (OS) 命令。 ”

幸运的是，对于许多用户而言，由于设备的默认配置，通过公共互联网大规模利用此漏洞的可能性很小。Zyxel 强调“这些设备默认禁用广域网访问”，这意味着攻击者只有在用户手动启用广域网访问和存在漏洞的 UPnP 功能后才能执行此远程攻击。

该安全公告还详细介绍了两个极其严重的身份验证后命令注入漏洞。虽然这些漏洞需要攻击者已经拥有一定级别的访问权限，但对受感染的网络而言，其影响仍然是毁灭性的：

CVE-2025-13943 (CVSS 8.8): 此漏洞存在于日志文件下载功能中，允许经过身份验证的攻击者执行任意操作系统命令。

CVE-2026-1459 (CVSS 7.2)：此漏洞位于 TR-369 证书下载 CGI 程序中，允许具有管理员权限的已认证用户注入恶意命令。

与UPnP漏洞类似，外部攻击可以通过默认设置得到缓解。正如安全公告指出，“需要注意的是，这些设备默认情况下禁用广域网访问，只有当用户配置的密码泄露时，这种攻击才能成功。”

此次补丁发布还包括三个拒绝服务漏洞（CVE-2025-11845、CVE-2025-11846 和 CVE-2025-11847），每个漏洞的 CVSS 评分均为 4.9 分（中等）。

这些漏洞源于各种 CGI 程序中的“空指针解引用”问题，包括证书下载器和帐户设置程序。拥有管理员权限的已认证攻击者可以发送精心构造的 HTTP 请求来触发这些漏洞，从而导致设备崩溃并造成拒绝服务 (DoS) 攻击。

受影响的 Zyxel 设备的管理员和家庭用户务必立即应用最新的固件补丁。除了打补丁之外，各组织还应遵循最小权限原则：确保禁用远程广域网访问（除非绝对必要），禁用未使用的 UPnP 服务，并强制使用强密码和唯一密码，以防止攻击者利用身份验证后的漏洞。

参考链接：

https://www.zyxel.com/global/en/support/security-advisories/zyxel-security-advisory-for-null-pointer-dereference-and-command-injection-vulnerabilities-in-certain-4g-lte-5g-nr-cpe-dsl-ethernet-cpe-fiber-onts-security-routers-and-wireless-extenders-02-24-2026

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：sec随谈 sec随谈 sec随谈《Zyxel 严重缺陷（CVSS 9.8）使路由器易受远程命令注入攻击》