Motorola 路由器现未授权 RCE 漏洞
推荐指数 48.0 NO. 016 · 2026.07.13
发布2026/07/12Score63Comments22
为什么值得看
安全研究员在 Motorola MR2600 路由器固件中发现未授权远程代码执行漏洞，通过逆向提取固件分析 CGI 脚本和 SOAP 处理程序定位到攻击面。IoT 设备供应链安全长期被忽视，此案例展示了固件逆向的标准化攻击路径，对做边缘 AI 部署和智能硬件创业的团队有直接参考价值。
编辑判断
这个漏洞的挖掘路径很有代表性：OTA 分发固件反而成了安全研究的障碍，研究者不得不找例外机型入手。MR2600 的 CGI+SOAP 架构是家用路由器的典型技术债，很多厂商为了兼容旧管理界面保留了这套攻击面。
做边缘 AI 推理盒、智能网关的团队要特别注意：你的设备如果用了类似的嵌入式 Web 管理方案，很可能有同类问题。建议把固件提取和静态分析纳入 CI/CD，而不是等安全研究员来敲门。另外 Motorola 这种不公开固件的做法在合规层面也越来越站不住脚，欧盟 CRA 法案已经要求制造商提供 SBOM 和安全更新透明度。
社区反馈
意见分歧 19 条评论
核心争论：白帽黑客是否有权擅自修复他人设备漏洞，以及IoT供应链安全责任归属
相关内容
>42 hosts with remote management >vender doesn’t want to fix it Sometimes I wonder if the white hat hackers who find such a thing should just take it a step further and patch those hosts. Take the firmware, fix those bugs and update those 42 routers.
Probably simpler to brick them, forcing the owners to upgrade to a modern and supported device.
https://en.wikipedia.org/wiki/BrickerBot