CVE-2026-40621 描述了 ELECOM WRC-BE72XSD-B 无线局域网接入点中的一个严重漏洞，允许攻击者在未经身份验证的情况下访问特定 URL。 此漏洞可能导致敏感信息泄露、配置更改，甚至可能导致对设备的完全控制。受影响的版本包括 1.1.0–v1.1.1 及更早版本。建议用户尽快采取缓解措施，或升级到已修复的版本。
影响与攻击场景
该漏洞的潜在影响非常严重。攻击者可以利用此漏洞未经身份验证地访问设备的管理界面和内部资源。这可能导致攻击者获取敏感配置信息，例如 Wi-Fi 密码、网络设置和用户数据。更进一步，攻击者可能修改设备的配置，导致网络中断、数据泄露，甚至完全控制设备。由于该漏洞无需身份验证即可利用，因此攻击面非常广，任何能够访问设备的攻击者都可能利用此漏洞。类似于其他未经身份验证的访问漏洞，该漏洞可能被用于进行大规模扫描和攻击。
利用背景
该漏洞已于 2026 年 5 月 13 日公开披露。目前尚无公开的漏洞利用代码 (POC)，但由于漏洞的严重性和易利用性，预计未来可能会出现。该漏洞的 EPSS 评分预计为高，表明存在被积极利用的风险。建议密切关注安全社区的动态，并及时采取缓解措施。
威胁情报
漏洞利用状态
CISA SSVC
CVSS 向量
这些指标意味着什么？
- Attack Vector
- 网络 — 可通过互联网远程利用，无需物理或本地访问。攻击面最大。
- Attack Complexity
- 低 — 无需特殊条件，可以稳定地利用漏洞。
- Privileges Required
- 无 — 无需认证，无需凭证即可利用。
- User Interaction
- 无 — 攻击自动且无声，受害者无需任何操作。
- Scope
- 未改变 — 影响仅限于脆弱组件本身。
- Confidentiality
- 高 — 完全丧失机密性，攻击者可读取所有数据。
- Integrity
- 高 — 攻击者可写入、修改或删除任何数据。
- Availability
- 高 — 完全崩溃或资源耗尽，完全拒绝服务。
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
缓解措施和替代方案
由于目前尚未提供官方修复版本，建议采取以下缓解措施来降低风险。首先，实施严格的访问控制策略，限制对设备的访问。使用防火墙或访问控制列表 (ACL) 阻止对敏感 URL 的未经授权访问。其次，考虑使用虚拟专用网络 (VPN) 或其他安全隧道来加密设备上的流量。此外，定期审查设备的配置，确保其安全设置正确。如果升级不可行，可以尝试使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意请求。持续监控网络流量，寻找异常活动。
修复方法翻译中…
Actualice el firmware del dispositivo ELECOM WRC-BE72XSD-B a una versión corregida que implemente la autenticación adecuada para el acceso a URLs específicas. Consulte la página de soporte de ELECOM para obtener más información sobre las actualizaciones de firmware disponibles: https://www.elecom.co.jp/news/security/20260512-01/
常见问题
什么是 CVE-2026-40621 — 无认证访问漏洞 in ELECOM WRC-BE72XSD-B?
CVE-2026-40621 描述了 ELECOM WRC-BE72XSD-B 无线局域网接入点中的一个安全漏洞，允许攻击者在未经身份验证的情况下访问特定 URL，可能导致敏感信息泄露和设备控制。
我是否受到 CVE-2026-40621 in ELECOM WRC-BE72XSD-B 的影响?
如果您正在使用 ELECOM WRC-BE72XSD-B 无线局域网接入点，并且运行在 1.1.0–v1.1.1 及更早版本，则可能受到此漏洞的影响。
如何修复 CVE-2026-40621 in ELECOM WRC-BE72XSD-B?
目前尚未提供官方修复版本。建议实施访问控制策略，使用防火墙或 WAF 过滤恶意请求，并持续监控网络流量。
CVE-2026-40621 是否正在被积极利用?
目前尚无公开的漏洞利用代码，但由于漏洞的严重性和易利用性，预计未来可能会出现，存在被积极利用的风险。
在哪里可以找到 ELECOM WRC-BE72XSD-B 官方针对 CVE-2026-40621 的公告?
请访问 ELECOM 官方网站或联系 ELECOM 技术支持，获取有关 CVE-2026-40621 的最新信息和公告。
立即试用 — 无需账户
上传任何清单文件 (composer.lock, package-lock.json, WordPress 插件列表…) 或粘贴您的组件列表。您立即获得一份漏洞报告。上传文件只是开始：拥有账户后，您将获得持续监控、Slack/电子邮件警报、多项目和白标报告。
拖放您的依赖文件
composer.lock、package-lock.json、requirements.txt、Gemfile.lock、pubspec.lock、Dockerfile...