未修补的 Calix 漏洞允许黑客绕过 NAT 暴露内部设备

美国多家宽带提供商使用的Calix GS7 XGS（GS5239XG）家用路由器中存在一个未修补漏洞，允许远程未认证攻击者创建端口转发规则，将本地网络设备暴露至公共互联网。

该漏洞编号为CVE-2026-75501，被描述为一个缺少身份验证的问题，影响运行EXOS/6.6.47固件的设备。

安全研究员Brian Khan Quintana发现了该漏洞，并于6月7日尝试通知厂商未果后，向卡内基梅隆大学CERT协调中心报告了该漏洞。

在多次尝试联系厂商且未获回应后，CERT/CC协调了公开披露，Quintana公布了技术细节。

Calix是美国宽带提供商市场的重要厂商，与Cox Communications、Brightspeed、ALLO、CityFibre和Conexon等大型实体合作。

受影响型号GS5239XG亦以GigaSpire 7u10txg之名销售，是一款集Wi-Fi 7与集成XGS-PON光纤终端于一体的新型高端网关设备。

CVE-2026-75501漏洞源于设备“在WAN接口的TCP 5000端口上暴露MiniUPnPd控制端点且无访问控制”。

“在受影响固件版本中，路由器将其UPnP WANIPConnection SOAP服务绑定至公网WAN接口的TCP 5000端口，”CERT/CC警告称。

这使得公共网络上的攻击者可向设备发送未经认证的“SOAP请求，以添加、删除或枚举端口映射，或查询外部IP地址”。

通过此方式，黑客可绕过路由器的网络地址转换（NAT）和防火墙保护，暴露内部摄像头、网络附加存储（NAS）设备、管理界面和IoT设备。

“来自世界任何地方的一个未认证请求就足以在路由器防火墙上为屋内任何设备打开一个永久性漏洞。无需密码，无需提示，屏幕上无任何显示。该规则在重启后仍然存在，”Quintana表示。

该研究员称，利用此安全问题的攻击者可执行以下操作：

• 创建任意端口转发规则

• 删除现有映射

• 枚举路由器当前映射

• 获取其公共IP地址

Quintana通过在其家庭网络外发送请求创建端口映射以暴露内部地址的方式验证了该发现。配置为无过期的映射在路由器断电重启后仍然保持活跃。

这实质上意味着互联网上的任何人都可以指示易受攻击的Calix路由器将来自公网端口的流量转发至家庭网络中的指定设备。

鉴于CVE-2026-75501尚无修复方案，Quintana建议受影响设备用户通过管理界面（高级 → 安全 → UPnP）禁用UPnP。

该研究员指出，此变通方案会禁用某些游戏所依赖的自动端口打开功能，但始终可以手动打开特定端口。

CERT/CC还指出，该设置在某些情况下可能被锁定，无法更改的用户应联系其ISP请求停用。

BleepingComputer已联系Calix就漏洞、影响的设备型号及是否发布补丁置评，但截至发布时尚未收到回复。