有用 DD-WRT 即刻睇版本：舊 UPnP 漏洞已俾 C0XMO 殭屍網絡利用

五年前有修補，而家先響警號

呢單唔再只係紙上談兵，因為攻擊者已經實際利用漏洞入侵路由器。Fortinet 今年 3 月發現新 Gafgyt 變種 C0XMO，攻擊者已經用 CVE-2021-27137 入侵行 DD-WRT 嘅路由器。iThome 報道，美國 CISA 其後喺 7 月 21 日將漏洞加入已知遭利用漏洞清單。個 CVE 編號同修補都可追溯到 2021 年，但 NVD 到 2026 年 7 月先正式刊出記錄；漏洞相隔五年因實際攻擊再受注目；自行刷韌體嘅設備通常長期開住，但用戶未必會定期更新。

圖片：Fortinet

攻擊有條件，唔係所有 DD-WRT 都公網任入

漏洞藏喺 DD-WRT 嘅 UPnP 服務。攻擊者向 UDP 1900 傳送特製 M-SEARCH 請求，用過長嘅 ST:uuid: 內容令 SSDP parser 寫爆固定大小嘅記憶體 buffer，成功利用後有機會控制部機，而且毋須登入。不過 UPnP 預設關閉，服務預設亦主要監聽內部介面。換句話講，單憑路由器行 DD-WRT，未足以斷定任何人都可以由公網直接打入；攻擊者要先接觸到嗰個 UPnP 服務，實際風險會受介面設定、網絡分隔同已有據點影響。

呢個限制唔應該變成拖延更新嘅理由。Fortinet 觀察到嘅 C0XMO 會為多種 Linux 架構準備惡意程式，包括 ARM、MIPS、PowerPC 同 x86，入機後仲會維持常駐、殺走其他殭屍程式，再接收 DDoS 指令。即使 UDP 1900 冇直接曝露喺公網，如果內部裝置已經中招、公司網絡接入咗冇人管理嘅設備，或者防火牆設錯，攻擊者仍有可能接觸到原本只限內網使用嘅 UPnP 服務。

版本界線以 build 45724 為準

即刻入 DD-WRT 管理頁睇韌體 build：45723 或更舊版本都當受影響，更新到 45724 或之後版本。Fortinet 研究頁頂寫成「before 45723」，同 CVE 記錄有一個 build 差距；不過 NVD 列明受影響範圍係低過 45724，DD-WRT 修補 changeset 亦係 45724，所以實際處理用後者做界線較穩陣。下載韌體時要核對路由器型號同硬件 revision，刷錯映像檔可以直接令部機開唔返，更新前亦應先備份設定。

UPnP 用唔着就關，仲要睇有冇中招跡象

更新之外，冇實際用途就關閉 UPnP。遊戲機、NAS、視像通話或者部分 P2P app 可能靠佢自動開 port，關閉後最好逐項試清楚，真係要對外提供服務先手動設定所需規則。公司或小型辦公室仲應限制 UDP 1900 跨 VLAN 流動，唔好畀訪客、IoT 同管理網段隨便互通。家中或辦公室有自行刷 DD-WRT 嘅舊路由器、無線橋接器，今次就應該一併翻查，唔好只檢查主路由器。

如果舊機曾經開住 UPnP，就要睇埋異常外連、突然增加嘅上載流量、陌生程序同排程工作。Fortinet 公布咗今次行動嘅 C2 同下載地址，可用嚟翻查記錄，但惡意基建隨時會換，淨係封一兩個 IP 唔夠。懷疑已經中招時，較穩妥做法係先隔離設備、重新刷入可信韌體、重設管理密碼，再檢查同一網絡其他 Linux、DVR、NAS 同 Android 裝置有冇異常。

CISA 限期唔係香港指令

CISA 要求 2026 年 7 月 24 日前處理，適用對象係受相關美國聯邦規定約束嘅機構，香港家用同公司用戶冇同一個強制限期。不過加入 KEV 代表漏洞已有實際利用證據，判斷優先次序時應該當成現役威脅。用緊舊 DD-WRT 又開咗 UPnP 嗰批機，今日檢查 build、更新同翻查流量已經最實際。

參考來源

• iThome — 開源路由器韌體DD-WRT已知漏洞出現攻擊行動 — original report
• Inside the Cross-Platform Propagation of a New Gafgyt Variant C0XMO — Fortinet 原始威脅研究，記錄實際攻擊、漏洞請求格式、惡意程式行為同網絡指標。
• NVD：CVE-2021-27137 — 核對受影響版本、UPnP 攻擊條件、CVSS 分數同 KEV 狀態。
• CISA Known Exploited Vulnerabilities Catalog — 官方 KEV 記錄，用嚟確認漏洞已有實際利用證據同美國聯邦機構期限。
• DD-WRT changeset 45724 — DD-WRT 原始修補記錄，確認 build 45724 係修補界線。
• SSD Advisory：DD-WRT UPNP Buffer Overflow — 漏洞披露資料，補充 UPnP buffer overflow 嘅技術背景。
• DD-WRT Other Downloads — DD-WRT 官方韌體下載入口，更新前要按路由器型號揀返相容映像檔。

本文根據原文及公開資料整理；資料有出入時，以原文及官方資料為準。