TP-Link近日证实，旗下多款热门路由器存在尚未修补的零日漏洞，该漏洞已引发美国网络安全和基础设施安全局（CISA）警告，称其他相关缺陷已被黑客利用。该漏洞由独立安全研究员Mehrun（ByteRay）发现，并于2024年5月首次向TP-Link报告。
TP-Link方面表示，正在调查该漏洞的影响范围和可被利用程度，目前已为欧洲版本开发补丁，但美国及全球固件的修复方案仍在推进中，尚未公布预计发布时间。该漏洞主要存在于CWMP（CPE WAN管理协议）实现中，由于’‘strncpy’’函数缺乏边界检查，攻击者可通过超长SOAP消息实现远程代码执行，进而接管设备，重定向DNS或操控未加密流量。
受影响的机型包括市场上热销的Archer AX10和Archer AX1500等。TP-Link建议用户及时关注并升级固件，避免使用默认登录凭据，以降低风险。来源