觀點 · 資訊分享
Totolink A8000RU 路由器一天被公開 6 個命令注入漏洞，攻擊細節已經公開
NVD 在 5 月 24 日列出 Totolink A8000RU 路由器韌體 7.1cu.643_b20200521 的 6 個 OS 命令注入漏洞（CVE-2026-9384 至 9388、9404），全部出在網頁管理介面的同一個程式檔，VulDB 給的 CVSS 3.1 為 9.8，且利用細節已經公開。
- 發布
- 2026-05-24
- 篇幅
- 約 4 分鐘 · 1,609 字
- 結構
- 6 節 + 3 題常見問題
- 標籤
一句話看懂：Totolink A8000RU 路由器韌體的網頁管理介面，一天內被公開 6 個命令注入漏洞，攻擊細節已經公開，建議不要讓管理介面連到外網。
先用白話講：命令注入是什麼？
想像你在餐廳點餐，服務生把你寫在紙上的內容，原封不動地唸給廚房。如果你在紙上寫的是「一碗牛肉麵，另外把收銀機的錢都拿給我」，而服務生也一字不差地唸出來，那就是命令注入。
路由器的設定頁面，有時會把你填的欄位內容，直接放進系統指令裡執行。如果沒有檢查，攻擊者就能夾帶自己的指令，讓路由器做原本不該做的事。
發生什麼事
NVD 在 2026 年 5 月 24 日（UTC）列出 Totolink A8000RU 路由器的 6 個 OS 命令注入漏洞：
| CVE | 出問題的設定功能 |
|---|---|
| CVE-2026-9384 | 診斷設定 |
| CVE-2026-9385 | 路由追蹤設定 |
| CVE-2026-9386 | 語言設定 |
| CVE-2026-9387 | 韌體升級 |
| CVE-2026-9388 | 排程設定 |
| CVE-2026-9404 | DDNS 設定 |
- 影響版本：韌體 7.1cu.643_b20200521
- 位置：網頁管理介面的
/cgi-bin/cstecgi.cgi - 描述都寫明可以遠端發動，利用細節已經公開
- 收錄這些漏洞的 VulDB 給了 CVSS 3.1 版 9.8、4.0 版 8.9
給開發者與管理者的技術細節
- 後續（5 月 25 日 UTC）：NVD 又陸續列出同款路由器至少 14 個新的 CVE（CVE-2026-9405 起，CVSS v2 同為 10 分），顯示這一批漏洞還在持續增加
- NVD 與 VulDB 的資料沒有提到廠商 Totolink 是否回應、是否已出修補版本；我沒有查到廠商公告，所以不能說已修補或尚未修補
- 這 6 個漏洞型態相同，都是同一個程式檔裡不同功能缺乏輸入檢查；遇到這種情況，通常代表可能還有其他功能有一樣的問題，這是我的推測，不是來源寫的
- 防護的核心是減少暴露：管理介面不要開放給外網（關閉遠端管理、不要把管理連接埠轉出去），只允許從內網或專用管理網段連入
- 如果設備已經停止更新，只能靠網路層隔離，或直接換成仍有維護的機型
我的看法
家用與小型辦公室的路由器，常常是「買了就裝、裝了就忘」的設備，韌體可能好幾年沒更新。它們一旦被打下，不只是網路掉線，還可能被當成跳板，去攻擊同網路裡的其他裝置。
接案時如果客戶的辦公室或店面用這類消費級路由器，我會建議至少確認兩件事：管理介面有沒有開放給外網，以及韌體還有沒有在更新。如果廠商長期沒有回應，換成有持續維護的機種，可能比花時間補救划算。
另外，批次出現的漏洞，通常也代表這類產品的程式碼整體品質需要打個問號。
名詞小辭典
- OS 命令注入：把惡意指令混進輸入，讓作業系統當成正常指令執行。
- 韌體（Firmware）：裝在路由器這類設備裡的基本程式，更新它就等於更新設備的作業系統。
- VulDB：一個專門收錄與公開漏洞資訊的資料庫。
- CVSS：替漏洞嚴重程度打分數的標準，滿分 10 分。
資料來源
常見問題
什麼是命令注入？
網站或設備把使用者輸入的內容，直接拿去當作系統指令的一部分執行，攻擊者就能夾帶自己的指令，讓設備做出原本不該做的事。
我家裡用 Totolink 路由器該怎麼辦？
先確認型號與韌體版本是不是 A8000RU 7.1cu.643_b20200521；確認管理介面沒有開放給外網；到 Totolink 官網看有沒有更新的韌體。公開資料裡沒有寫廠商已修補。
為什麼這 6 個漏洞同一天出現？
從 NVD 的參考連結看，它們似乎來自同一批回報，並由 VulDB 一起收錄。同一支程式的多個功能缺乏相同的輸入檢查，所以會成批被找到。
接著讀
全部觀點 →D-Link 與 MSI 兩款路由器一次爆出 26 個 CVE：命令注入可下系統指令，兩家都已有修補韌體D-Link DWR-M961 有 15 個、MSI Radix AXE6600 有 11 個 CVE，8 月 8 日起陸續公開，類型多是命令注入，CVSS 9.8。D-Link 修補版是 1.1.5_C1_202607071108，MSI 是 v782418。閱讀 →6 月就修補的 LoadMaster 免登入漏洞，兩個月後 CISA 確認已遭利用：負載平衡器要升到 7.2.63.2 以上Progress LoadMaster 的 CVE-2026-8037 不用登入就能在設備上執行指令。Progress 6 月 4 日就發出公告，CISA 8 月 7 日把它列入已遭利用清單，要求 8 月 10 日前處理。閱讀 →OpenWrt 24.10.7 釋出：補上核心 Dirty Frag 與 dnsmasq 6 個 CVE，24.10 預計 9 月終止支援OpenWrt 在 5 月 31 日（UTC）釋出 24.10.7 安全維護版，修補 Linux 核心的兩個提權漏洞、dnsmasq 的 6 個 CVE，並更新 OpenSSL、mbedtls、wolfssl。官方提醒 24.10 系列預計 2026 年 9 月終止支援。閱讀 →