事件背景与影响
近期，美国网络安全与基础设施安全局（CISA）在其“已知被利用漏洞”（KEV）目录中新增了多项漏洞，涉及 DD-WRT 固件、Langflow 开发平台以及全球广泛使用的 WordPress 内容管理系统。这些漏洞因已被证实存在在野利用活动，被 CISA 强制要求联邦机构在规定期限内完成修复。
从我们的应急响应经验来看，被列入 KEV 清单意味着这些漏洞已成为攻击者的“武器库”首选。对于企业而言，单纯依赖边界防御已不足以应对，及时修复这些已公开且被利用的漏洞是降低攻击面的核心手段。
攻击链分析与技术解析
此次涉及的漏洞涵盖了从固件层到应用层的多个维度，攻击者往往通过以下路径实现入侵：
DD-WRT 缓冲区溢出（CVE-2021-27137）：该漏洞存在于 UPnP 处理功能中，攻击者通过构造恶意的 M-SEARCH 请求，可触发堆栈溢出并执行任意代码。虽然默认配置下 UPnP 多为关闭状态，但这一环节是很多企业容易忽视的配置盲点。
Langflow 远程代码执行（CVE-2026-0770）：此漏洞允许攻击者通过 validate 端点加载不受信任的功能，从而以 Root 权限执行恶意指令。在 AI 开发工具链日益普及的今天，此类组件的安全性极易被开发者忽略。
WordPress 组合拳攻击（CVE-2026-63030 & CVE-2026-60137）：这是目前威胁最大的攻击路径。研究人员发现，通过串联 REST API 路径混淆漏洞与 SQL 注入漏洞，攻击者无需任何权限即可在默认安装的 WordPress 站点上实现远程代码执行。类似攻击近年来明显增加，尤其是针对供应链中基础组件的漏洞利用，往往能实现大规模的自动化渗透。
安全建议与 Solar 经验分享
针对本次披露的漏洞，Solar 应急响应团队建议广大企业用户采取以下行动：
首先，立即开展资产盘点。确认企业内部是否存在运行上述受影响版本的 DD-WRT 路由设备、Langflow 实例以及 WordPress 站点。WordPress 用户应重点检查版本号，并关注官方提供的自动更新补丁。
其次，落实最小权限原则与网络隔离。对于 DD-WRT 这类网络基础设施，应严格限制 UPnP 功能的开启，并将其置于严格的访问控制列表（ACL）保护之下，防止外部直接扫描与利用。
最后，建立常态化的漏洞管理机制。不要仅在收到告警时才被动响应，应定期对比 CISA 的 KEV 清单，评估自身环境的暴露风险。对于已确认受影响的系统，建议在完成补丁更新后，对系统日志进行深度排查，确认是否存在历史入侵痕迹。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com