為了解家用路由器的最新固件中是否存在已知的安全漏洞，德國弗勞恩霍夫通信研究院（FKIE）對來自七個品牌的 127 款設備進行了檢查，結果讓人很是擔憂。FKIE 指出，過去一年里，有 46 款家用路由器沒有迎來哪怕一次安全更新，且許多路由器都受到數百個已知漏洞的影響。更糟糕的是，供應商甚至在未修復已知漏洞的情況下發布固件更新。這意味著即時消費者部署了最新固件，他們的路由器仍處于易受攻擊的狀態。

資料圖（來自：ASUS）

FKIE 評估發現，華碩（Asus）和網件（Netgear）相對 D-Link、Linksys、TP-Link 和 Zyxel 做得更好。

研究中有約 90% 的路由器在使用 Linux 操作系統，但制造商并未使用 Linux 維護人員提供的修復程序來更新 OS 。

FKIE 網絡分析與防御部門科學家 Johannes vom Dorp 指出 —— Linux 一直在不斷地開發新功能和修復安全漏洞，但廠商還是懶于提供最新的版本。

在最壞的情況下，某些設備已超五年沒有更新過，且許多路由器暗藏了易于被破解的密碼或無法被更改的硬編碼登錄憑證。

德國 AVM 是唯一未在其路由器固件中發布私有密鑰的廠商，但 Netgear R6800 在路由器中包含了 13 把私鑰。

這項研究（PDF）主要從五個維度對路由器制造商的網絡安全方案進行評估，包括上一次固件發布已有多久、路由器運行的 OS 版本號有多新、漏洞利用的緩解技術有多好、私有密鑰是否可靠、以及是否存在硬編碼的后門登陸賬號。

FIKE 的結論是，與操作系統制造商相比，路由器制造商在安全更新的實施方面，遠遠落后于臺式機 / 服務器操作系統的行業標準。

大多數設備都基于 Linux OS，每年都有好幾次針對內核與開源軟件的安全補丁，但供應商并未如我們所想的那樣頻繁向其設備分發部署。

其實早在 2018 年的時候，美國消費者協會（ACI）就已經發布過一項類似的研究結果，其中分析了來自 14 個廠商的 186 款 SOHO 型 Wi-Fi 路由器。

結果在 155 個固件樣本中，有 83% 都電郵潛在易受攻擊的網絡安全漏洞，且平均每款路由器具有多達 172 個漏洞。

ACI 因此批評制造商沒有提供相應的自動更新機制來保障路由器處于最新狀態，通常只有在遭遇了臭名昭著的攻擊事件之后才想到亡羊補牢（比如 Mirai IoT 惡意軟件）。

至于漏洞利用的緩解方案，最近發現有 79 款 Netgear 路由器型號未堵上可被遠程利用的缺陷，甚至未通過地址空間布局隨機化（ASLR）來降低被攻破的風險。

此外超過 1/3 的設備在使用 2011年 2 月發布的 2.3.36 或更早的內核版本，Linksys WRT54GL 甚至運行著 2002 年發布的 2.4 內核版本（帶有 579 個高危 CVE 漏洞）。