美國網路安全和基礎設施安全局 (CISA) 週五將影響 Sierra Wireless AirLink ALEOS 路由器的高風險漏洞添加到其已知利用漏洞 ( KEV ) 目錄中，此前有報導稱該漏洞已被積極利用。CVE-2018-4063（CVSS 評分：8.8/9.9）指的是一個不受限制的檔案上傳漏洞，該漏洞可被利用來透過惡意 HTTP 請求實現遠端程式碼執行。
CISA表示：精心建構的HTTP請求可以上傳文件，將可執行程式碼上傳到網路伺服器，並使其可路由到該伺服器。攻擊者可以發出經過身份驗證的HTTP請求來觸發此漏洞。
思科 Talos 於 2019 年 4 月公開分享了這一存在了六年的漏洞的詳細信息，稱其為 Sierra Wireless AirLink ES450 固件版本 4.9.3 中 ACEManager“upload.cgi”函數的一個可利用的遠程代碼執行漏洞，Talos 於 2018 年 12 月向這家加拿大公司報告了該漏洞。
該公司表示：AirLink 450模板的文件上傳功能存在此漏洞，上傳模板文件時，可以指定要上傳的文件名。目前設備上用於正常操作的檔案沒有任何保護限制，如果上傳的檔案與目錄中已存在的檔案同名，我們將繼承該檔案的權限。
Talos 指出，目錄中存在的一些檔案（例如「fw_upload_init.cgi」或「fw_status.cgi」）在裝置上具有可執行權限，這意味著攻擊者可以向「/cgi-bin/upload.cgi」端點發送 HTTP 請求，上傳同名檔案以實現程式碼執行。
雪上加霜的是，ACEManager 以 root 使用者身分執行，因此任何上傳到裝置的 shell 腳本或執行檔也會以提升的權限運行。
在 Forescout 進行了為期 90 天的蜜罐分析後一天，CVE-2018-4063 被添加到 KEV 目錄中。分析顯示，工業路由器是營運技術 (OT) 環境中遭受攻擊最多的設備，威脅行為者試圖利用以下漏洞傳播RondoDox、Redtail和ShadowV2等殭屍網路和加密貨幣挖礦惡意軟體家族：
(1) CVE-2024-12856（四信仰路由器）
(2) CVE-2024-0012、CVE-2024-9474和CVE-2025-0108（Palo Alto Networks PAN-OS）
鑑於 CVE-2018-4063 已被積極利用，建議聯邦民事行政部門 (FCEB) 機構將其設備更新到受支援的版本，或在 2026 年 1 月 2 日之前停止使用該產品，因為該產品已達到停止支援狀態。
資料來源：https://thehackernews.com/2025/12/cisa-adds-actively-exploited-sierra.html
美國網路安全和基礎設施安全局（CISA）已將 Sierra Wireless AirLink ALEOS 路由器的嚴重漏洞 CVE-2018-4063 列入其「已知被利用漏洞」（KEV）目錄，證實該漏洞已被駭客主動利用。本報告將詳細分析此六年前的漏洞如何造成遠端程式碼執行 (RCE) 風險，尤其對工業（OT）環境構成的威脅，並強調 CISA 對聯邦機構發出的緊急修復指令，為私人組織提供防禦參考。