退出中国后再挨一刀：领势三款路由器曝高危漏洞，老用户自救指南_路由器

退出中国后再挨一刀：领势三款路由器曝高危漏洞，老用户自救指南

每年双11，都有人蹲闲鱼捡百元领势，赌的是"便宜大碗、刷机真香"。但今年下单前先停一下：NVD漏洞库刚在一周内给领势连记三刀，其中一款直接打满CVSS 10.0分。

三周内的三个漏洞编号，俩是主力机型

CVE-2026-121932：E5350固件1.0.00.037，CVSS 10.0满分。Web管理页的 `/wizard/apply.cgi` 把用户填的 ping 地址（ping_ip/traceroute_ip参数）不加过滤直接丢进 system() 执行——等于你连管理页面都能碰到，就能让路由器替你执行任意命令，可远程触发，利用代码已公开。微信公众号

CVE-2026-121931：老传奇WRT54GL固件4.30.18，CVSS 9.1，成因一模一样：apply.cgi的tracert诊断功能把用户填的目标地址直接传进 system 调用，命令注入，远程就能打。信安知行

CVE-2026-120283：E8450 的 portal.cgi 里一个 strcpy 拷贝 hidden_timezone 参数不检查长度，造成栈溢出、远程可打，披露前联系厂商，对方始终没有作出回应。CVE日报每日安全通报

巧的是，早在2024年初，奇安信天工实验室就把E8450翻了个底朝天，提交CNVD后一口气拿了12个漏洞编号。三年过去，同一个文件，又出事了。 而E5350、E8450恰恰是领势当年在国内卖得最多的主力型号——家里那台，大概率就在名单里。奇安信天工实验室

最尴尬的是：找谁修？

从2024年开始，陆续有用户反映领势已退出中国市场，京东自购买、还在质保期的路由器出了问题，售后踢皮球让你自己找商家。到2026年，数码圈盘点"路由器三巨头"时已经直接写"网件死、领势死"。微博知乎

设备还稳定地跑在你家客厅，品牌却已经查无此人。固件漏洞这东西，以前是极客圈的小圈子瓜，现在是无售后品牌老用户的大窟窿——没有国内推送渠道，补丁有没有全看海外总部心情。

自救清单（今晚就能做完）

立刻关掉远程管理/云端管理入口：这三个洞全要求"够得着管理接口"。管理页不对公网开放，风险直接砍一大截。微信公众号
改掉默认密码，别用admin裸奔：漏洞报告点名，后台对公网开放、又还在用默认口令的设备最先被打。CVE日报
核对固件版本：E5350 1.0.00.037、E8450 1.2.00.360516、WRT54GL 4.30.18 是已确认的出事版本；在官方支持列表内且有新固件的，开自动更新补掉。
没补丁的老机型，降级使用：把它从"全家主路由"挪到隔离角色——只接访客网络或IoT设备区，别让它碰你的NAS和电脑。服役十几年的WRT54GL们，考虑退役。