宏碁：注意 Wave 7 路由器中的这两个CVSS满分 0day
Sergiu Gatlan
Sergiu Gatlan
代码卫士
2026年6月4日 18:04
北京
在小说阅读器读本章
去阅读
聚焦源代码安全，网罗国内外最新资讯！
编译：代码卫士
宏碁 (Acer) 公司证实称正在修复影响 Wave 7 网状路由器中的两个CVSS满分漏洞（CVE-2026-49200和CVE-2026-49201），它们影响运行固件版本 T7c\_GBL\_1.01.000055 或更早版本的 Wave 7 路由器。
CVE-2026-49200 漏洞可导致未经认证的攻击者远程访问存储在日志文档中的明文凭据。宏碁公司解释称，“设备固件中的 acer\_cgi.log 文件可无需认证，通过 web 接口访问。该文件中包含明文形式的登录凭据（适用于 web 和 Telnet），可导致未经过授权的系统访问。”
CVE-2026-49201源自硬编码加密密钥，可导致远程攻击者在无需权限的情况下，获得对路由器的持久后门访问权限。宏碁公司表示，“负责处理设备备份的 upload.cgi 二进制中包含一个硬编码的 AES 加密密钥，可导致攻击者解密、修改和重新加密系统备份，从而有利于持久性后门注入。”
宏碁公司表示目前正在着手推出这两个漏洞的修复方案，预计将于6月底发布。该公司“强烈”建议所有用户按照如下已发布的安全更新步骤，立即更新设备固件：
1、通过WiFi 或以太网网线，将计算机连接到宏碁 Wave 7 路由器。
2、打开 web 浏览器并导航到路由器管理控制台 (http://192.168.76.1 or http://acerconnect.com).
3、以管理员凭据登录。
4、导航到“系统管理”，之后选择“固件更新”。
5、选择“检查更新”。
在修复方案发布之前，建议宏碁用户禁用远程管理，或者在固件允许的情况下，仅限受信任 IP 地址拥有 Internet 远程访问权限。
开源卫士试用地址：https://oss.qianxin.com/#/login
代码卫士试用地址：https://sast.qianxin.com/#/login
推荐阅读
Juniper Networks PTX严重漏洞可导致路由器遭完全接管
D-Link：遗留 DSL 路由器中存在已遭利用漏洞，速修复
原文链接
https://securityonline.info/tp-link-router-vulnerability-cve-2026-5509/
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 \"赞” 吧~
版权声明
本站仅做备份收录，仅供研究与教学参考之用。
读者将信息用于其他用途的，全部法律及连带责任由读者自行承担，本站不承担任何责任。
评论