2026年8月26日，国家信息安全漏洞共享平台（CNVD）发布了一份编号为hga038/mos055的漏洞通报，正式确认该漏洞影响多款主流路由器产品。根据通报内容，hga038/mos055属于高危认证绕过漏洞，攻击者可以在未登录的情况下接管路由器管理后台，进而篡改网络配置、劫持DNS解析，甚至将控制权升级为对内网设备的渗透跳板。截至目前，已有部分厂商发布修复固件，但仍有大量设备暴露在风险之中。
这并非一起孤立的安全事件。hga038/mos055之所以引发广泛关注，不仅在于其技术门槛极低，更在于路由器作为家庭和企业网络的“城门”，一旦失守，后果将直接扩散到所有联网设备。CNVD在通报中特别强调，受影响设备的数量可能达到数十万个，且远程触发条件极为简单，建议相关用户立即核查并更新固件。
hga038/mos055漏洞解析：会话校验缺失导致管理页面失守
要理解hga038/mos055的根源，需要从路由器Web管理程序的身份认证流程说起。正常情况下，当用户首次访问路由器后台时，系统会要求输入管理员账号和密码。在登录成功后，服务端会生成一个会话标识（Session Token）并返回给浏览器，随后浏览器提交的所有管理操作都会携带该令牌，服务端据此判断请求是否来自已认证用户。
然而，hga038/mos055所涉及的固件版本在实现这一机制时存在严重缺陷。综合多家安全机构的逆向分析，漏洞产生于会话校验函数对“Cookie”字段的解析逻辑。具体而言，固件在验证会话时，仅检查Cookie中是否包含名为“sessionid”的字段，而不验证该字段的值是否与服务端保存的会话记录一致。更危险的是，当“sessionid”被设置为空字符串或“admin”等固定值时，代码会直接将其视为有效会话，并授予完全的管理权限。
这一缺陷的触发路径非常简单。攻击者只需使用普通的HTTP客户端，比如浏览器甚至命令行工具，向路由器的Web管理端口（常见为80/443）发送一个带有特制Cookie的HTTP请求，即可直接进入后台，整个过程无需任何身份验证，也无需用户交互。CNVD的公告中指出，该漏洞在多个固件版本中存在，从早期的稳定版到最新的测试版均有涉及，覆盖面之广，说明这一逻辑错误并非后期引入，而是从初始代码中就遗留下来的。
更值得警惕的是，该漏洞的利用不仅限于获取管理员权限。由于管理后台通常支持固件上传、端口转发、静态路由配置等功能，攻击者完全能够通过后台写入恶意固件，实现持久化控制。这意味着，即使设备重启，恶意代码仍会保留，用户即使恢复出厂设置也有可能无法清除。这种隐蔽性是路由器类漏洞中最为棘手的部分。
上图为该漏洞的攻击流程示意。研究人员通过构造特定的HTTP数据包，成功绕过了登录页面，直接进入设备设置界面。这一演示过程在多个设备上复现，验证了漏洞的通用性。
hga038/mos055风险升级：远程批量利用打开攻击面
在评估一个漏洞的严重性时，除了技术原理本身的严重程度，还必须考虑其可利用性、影响范围和扩散能力。hga038/mos055在这三个维度上都表现出了相当高的风险等级，将一次简单的认证绕过演变为互联网规模的攻击入口。
首先，在可利用性上，正如前文所述，该漏洞无需任何权限、无需用户交互、也无需物理接触。攻击者只需要对目标IP的Web端口发起请求，即可完成攻击。这意味着，任何连接到互联网的路由器，只要其管理端口对外开放，都可能是潜在目标。使用Shodan等网络扫描工具，任何人都可以在几分钟内定位到大量暴露的设备。
其次，在影响范围上，CNVD的受影响的设备列表覆盖了多个品牌数十款型号，并且这些路由器在市场存量极大。尤其在一些老旧设备上，由于厂商早已停止固件支持，该漏洞将永远无法被修复，这也成为长期悬在用户头上的安全阴影。
最后，在扩散能力上，一旦攻击者批量控制路由器，他们可以构造僵尸网络，利用这些设备发起DDoS攻击，或者将恶意流量转发到其他网络。由于路由器通常7×24小时在线，且很多用户不会注意设备行为异常，这种隐蔽的操控可能持续数月而不被发现。安全研究者已发现，利用该漏洞的扫描样本正在增加，虽然尚未出现大规模蠕虫式传播，但考虑到利用代码已公开，这种局面随时可能恶化。
综合来看，该漏洞的风险级别被CNVD评定为“高危”是恰当的。我们列出以下核心风险点：
- 无需认证即可远程获取设备完整权限，攻击门槛极低。
- 影响数十款路由器型号，市场覆盖面大，且部分设备无修复计划。
- 被控制的路由器可作为内网跳板，进一步渗透个人电脑、NAS等智能设备。
- 可利用固件上传功能刷入恶意固件，形成持久化后门，难以清除。
- 批量利用可能构建大规模僵尸网络，对互联网基础设施发起DDoS攻击。
值得注意的是，在CNVD发布的同一天，国外多个漏洞情报平台也同步了该漏洞的细节，这或将加速利用代码在攻击者社区中的传播。对于尚未采取防护措施的用户而言，时间窗口正在快速缩小。
官方回应与修复进展：厂商分批推送补丁
面对hga038/mos055这一波及面广泛的漏洞，受影响厂商的反应速度和透明度各有不同。从CNVD公开的信息以及厂商官网的公告来看，目前已有至少三家主流路由器厂商承认漏洞存在，并发布了安全更新。以其中一家厂商为例，其在官方网站上刊登了标题为“关于固件漏洞的安全公告”的通知，详细列出了受影响型号的清单，并提供了新版固件的下载链接。该厂商表示，修复工作从数周前就已开始，经过内部测试，确认修复不会影响正常功能后，才于今日正式向用户推送。
另一家厂商则在社区论坛中回应了用户的疑虑，确认该公司产品中存在该漏洞，并透露已通过远程自动更新通道向大部分用户推送了修补固件。剩余用户因可能已关闭自动更新功能，需要手动进入管理后台进行升级。这家厂商还建议用户，在升级前最好备份现有的配置文件，以便在升级后快速恢复网络设置。
不过，并非所有厂商都给出了令人满意的答复。CNVD的通报中列出的部分小品牌路由器，至今仍没有发布任何安全公告。CNVD方面表示，已经多次联系相关厂商，但对方迟迟未能提供修复时间表。对于这些“失联”厂商的产品，安全专家建议用户暂停使用其公网管理功能，或者在设备前部署防火墙规则，仅允许可信IP访问管理端口。
从时间线来看，本次hga038/mos055的披露属于负责任披露流程。早在三个月前，某安全研究团队就向CNVD提交了该漏洞。经过CNVD核实和厂商联系，于近日达成公开披露的协议。这一时间差给了部分厂商预留了开发补丁的时间窗口，但显然还不够充分——一些小厂由于缺乏安全响应能力，至今仍在“裸奔”。
另外，值得注意的是，物联网设备固件更新的“最后一公里”问题在该漏洞事件中再次暴露。即便厂商发布了修复，许多用户的路由器并未启用自动更新，或者因担心升级后网络不稳定而推迟手动升级。这使得补丁的实际覆盖率大打折扣。据公开信息，在漏洞公开后的24小时内，仅有少数受影响设备安装了修复固件，多数设备仍在风险暴露状态。
更多关于该漏洞的技术分析，可参考hga038/mos055漏洞分析。
用户应对与行业观察：hga038/mos055的教训与启示
对于普通消费者，hga038/mos055的警示意义非常直接：路由器并不是一个“设置好就可以忘记”的设备，它和电脑、手机一样，需要定期维护。在目前这个节点，用户可以按照以下步骤来降低风险。首先，登录路由器管理后台，进入“系统工具”或“固件升级”页面，检查是否有新版本可用。如果厂商已提供修复固件，应立即升级。其次，如果暂时无法升级，务必关闭路由器的“远程管理”功能，或限制管理端口的访问IP，确保只有局域网内的设备才能访问管理界面。再次，修改路由器的默认管理员密码，并避免使用弱密码，即使攻击者能绕过登录，也无法轻易切换安全配置。
除此之外，用户还应关注设备是否有异常行为，比如网络速度突然变慢、DNS设置被篡改、出现未知设备连接等。这些都可能表明路由器已被入侵。在极端情况下，可以将设备恢复出厂设置，并重新设置强密码，但需要注意的是，如果设备固件未更新，同样的漏洞可能依然存在。
从更宏观的行业角度来看，该漏洞暴露了物联网设备安全治理的滞后性。一方面，低价路由器市场竞争激烈，厂商为了追求上市速度，往往在安全设计上让步；另一方面，许多产品在销售后缺乏漏洞应急响应机制，甚至到了停止维护阶段也没有向用户明确告知。此次CNVD与厂商的协作模式，为行业提供了一个参考——漏洞发现机构在披露前应给予厂商充分的准备时间，而厂商也应在补丁无法覆盖所有设备的情况下，明确告知用户残余风险。
同样值得关注的是，该漏洞与近年来曝出的多款设备漏洞呈现出相似的技术特征。无论是默认口令还是会话校验问题，本质上是安全编码规范的缺失。业界已经开始反思，是否应该引入更强制性的设备安全认证标准，例如通过上线前的安全基线测试，从源头减少这类低级漏洞。监管层面的动作也在加快，据我们了解，相关行业标准正在制定中，未来或将要求所有家用路由器必须具备自动更新功能，并在产品生命周期内提供安全维护。
对于长期无法获得更新的设备，用户可能需要考虑更换机型。尽管这不经济，但在安全与便利的权衡中，如果一台路由器已停止固件支持，且无法获得任何安全不补丁，那么其暴露面将持续扩大。资深网络安全从业者建议，在采购新设备时，应关注厂商是否承诺提供至少三年的固件更新，并将自动更新作为强制选项。
总的来说，hga038/mos055既是一个具体的安全事件，也是物联网设备安全现状的一个缩影。它的出现提醒我们，当网络边界设备变得足够智能，它也有可能变得足够脆弱。只有用户、厂商、研究机构和监管方各就其位，才能真正筑起网络安全的防线。
截至本文发稿，hga038/mos055的修复工作仍在进行中，部分厂商的补丁尚未全面覆盖。CNVD将持续更新漏洞状态，并公开已确认受影响设备的修复进度。我们将继续关注该漏洞的影响面变化，以及是否会出现基于该漏洞的大规模攻击活动。对于用户而言，主动检查更新、强化基础配置，仍是当下最有效的防护手段。