D-Link DSL中的命令注入CVE-2026-0625

D-Link DSL是D-Link（友讯）推出的基于DSL（Digital Subscriber Line，数字用户线路）技术的宽带接入设备系列，性价比高，配置简单。

一、基本情况

D-Link DSL 的核心是利用现有电话线提供高速互联网接入，涵盖纯调制解调器、带路由/无线功能的组合设备，适配家庭及小型办公场景。

D-Link DSL设备作为用户端CPE，负责将运营商DSLAM 设备的信号解调为网络信号，或集成路由 / 无线功能实现多设备共享与全屋覆盖。

栋科技漏洞库关注到 D-Link 的多个DSL网关设备中的dnscfg.cgi端点存在命令注入漏洞，追踪为CVE-2026-0625，漏洞CVSS 4.0评分9.3。

二、漏洞分析

CVE-2026-0625是D-Link的多个DSL网关设备的dnscfg.cgi端点存在命令注入漏洞，源于对用户提供的DNS配置参数缺乏适当的清理所致。

该漏洞使得未经验证的远程攻击者可以注入并执行任意shell命令，从而导致远程代码执行，是通过DNS配置端点的D-Link DSL命令注入。

未经身份验证的远程攻击者可以注入并执行任意shell命令，从而导致远程代码执行。

受影响的端点还与D-Link记录的未经身份验证的DNS修改（“DNSChanger”）行为有关。

报告指出，从2016年至2019年，针对DSL-2740R、DSL-2640B、DSL-2780B和DSL-526B等固件版本的活动攻击事件不断增多。

Shadowserver Foundation于2025年11月27日（世界标准时间）观察到了利用证据。受影响的设备于2020年初宣布停产/停止服务。

三、影响范围

DSL-2740R < 1.17 

四、修复建议

DSL-2740R >= 1.17 

五、参考链接

管理员已设置登录后刷新可查看