事件背景：路由器核心服务的隐患
近期，开源路由器固件 OpenWrt 发布了 24.10.8 和 25.12.5 版本，用于修复一系列高危安全漏洞。其中最受关注的是编号为 CVE-2026-53921 的严重漏洞，该漏洞存在于 OpenWrt 默认开启的 DHCPv6 服务组件 odhcpd 中。
从我们的应急响应经验来看，由于路由器通常处于网络边界，其运行的服务一旦被攻破，攻击者便能直接控制内网流量，甚至将其作为跳板进行横向渗透。此次漏洞波及范围广，且由于许多嵌入式设备缺乏栈保护（Stack Canaries）和地址空间布局随机化（ASLR）等现代安全防护机制，攻击者实现远程代码执行（RCE）的成功率极高。
攻击链分析：从网络请求到Root权限
CVE-2026-53921 的核心在于 DHCPv6 请求处理路径中的栈缓冲区溢出。攻击者无需进行身份验证，只需向目标设备的 UDP 547 端口发送精心构造的 DHCPv6 数据包。
在处理请求时，odhcpd 组件未能对 IA（Identity Association）选项进行严格的边界检查。当攻击者发送恶意构造的 DHCPv6 REQUEST 包时，数据会覆盖预设的 512 字节栈缓冲区，从而导致程序执行流被劫持。由于 odhcpd 进程以 root 权限运行，攻击者一旦利用成功，便能直接获取路由器的最高控制权。
这一环节是很多企业容易忽视的，因为 DHCPv6 服务在大多数家庭和小型办公路由中是默认开启的，且极少有安全策略会对其进行深度过滤。
安全风险的叠加：LuCI 组件的连锁反应
除了核心服务漏洞，此次更新还揭示了 OpenWrt 的 LuCI Web 管理界面存在一系列潜在风险。通过 Hacker House 的 AI 辅助审计，研究人员发现多个可选组件（如 luci-app-commands、luci-app-ddns 等）存在命令注入、路径遍历及存储型 XSS 漏洞。
特别需要警惕的是，如果管理员在配置中开启了某些“公开且参数化”的命令，攻击者甚至可以在未经授权的情况下触发命令执行。类似攻击近年来明显增加，攻击者正倾向于通过挖掘 Web 管理界面的逻辑缺陷来绕过身份验证。
Solar 应急响应建议
针对此次 OpenWrt 安全事件，Solar 应急响应团队给出以下防御建议：
- 立即升级固件：请受影响的用户尽快将系统升级至 24.10.8 或 25.12.5 版本。对于通过软件包管理器单独安装的组件，也需执行同步更新。
- 最小化服务暴露：检查路由器配置，关闭不必要的 Web 管理界面访问权限。如果必须远程管理，请务必通过 VPN 接入，严禁将 LuCI 界面直接暴露在公网。
- 权限审计：定期审查 LuCI 组件中的自定义命令配置，确保没有将敏感操作设置为“公开”或允许无限制的参数输入。
- 增强边界防护：在企业级网关或防火墙上，对 DHCPv6 流量进行必要监控，防止恶意构造的请求包进入内网核心设备。
安全审计并非一劳永逸。随着 AI 辅助挖掘漏洞效率的提升，固件中的陈旧代码将面临更严峻的挑战。企业应加强对网络基础设施的资产盘点，确保关键设备始终处于受控的维护状态。
如果您想了解勒索病毒的最新发展趋势，或在实际业务中遇到类似安全事件，欢迎关注“Solar应急响应团队”。
全国热线：400-613-6816 官网：www.solarsecurity.cn / www.sierting.com