趨勢新聞TREND NEWS
放在桌上的黑色家用無線路由器，有三支天線
示意圖，圖中機型與本案無關。ajay_suresh 攝，CC BY 2.0，Wikimedia Commons。
資安Volt Typhoon路由器零時差漏洞

中國駭客 Volt Typhoon 把家用路由器當一次性跳板，攻擊電信、國防等單位的網管設備：Lumen 公布「Silent Train」，四起零時差攻擊涉及五個漏洞，原廠都已發布修補

趨勢新聞2026 年 10 月 29 日

家裡或小公司的 Wi-Fi 路由器，可能在主人不知情時被借去用幾個小時：駭客先連進它，再從它出發去攻擊下一個目標，用完把痕跡清掉。美國電信業者 Lumen 旗下的資安研究團隊 Black Lotus Labs 10 月 28 日（美國時間）公布報告，說中國國家支持的駭客組織 Volt Typhoon 從 2023 年底起就這樣輪流借用被入侵的家用路由器、物聯網設備（連網攝影機這類會上網的小裝置）和企業設備，掩護自己攻擊美國政府、電信、國防等單位，期間確認有四起「零時差」攻擊（漏洞還沒有修補可用、甚至還沒公開就被拿來攻擊），涉及五個漏洞。報告點名的設備品牌有 TP-Link、Netgear，也有台灣廠商合勤（Zyxel）。本站的讀法：報告詳述的攻擊目標集中在美國，沒有列出台灣個案；但同一批品牌台灣家庭和公司也在用，路由器的管理頁面對網際網路開放、韌體又沒更新，就可能被拿去替別人攻擊。這五個漏洞，原廠現在都已發布修補。

「一次性跳板」怎麼運作

Lumen 把這套做法取名 Silent Train（沉默列車）。據報告，每次攻擊先從美國境外租用的雲端主機出發，經過第二台雲端主機、境外被入侵的家用或物聯網設備，最後由一台美國境內被入侵的設備連到目標，整條鏈 4 到 6 跳。最後一跳放在美國，是為了讓連線看起來像本地來的，躲過封鎖境外 IP 的過濾。駭客不到兩分鐘就能組好一條鏈，每次平均用約四小時；家用與物聯網設備多半只用一次，結束時移除工具，把設備恢復原狀。

報告說被拿來用的設備超過 27 類。早期多是 TP-Link、Intelbras、Ruckus、Netgear、Zyxel 等家用與小型網路設備，駭客透過它們開在網路上的網頁管理介面入侵；後來又加入 Fortinet、Cisco 等企業設備，一台會留用一到三個月、支援多次入侵，到 2025 年初已變成兩者混用。有些設備類型並沒有已知漏洞，Lumen 推測駭客另有未公開的漏洞可用。設備分工固定，例如 Netgear Orbi 只當美國境內那一跳。

操作時間集中在週一到週五 09:00 到 22:00（中國標準時間，與台灣時間相同），夜間和週末很少，春節期間也出現過持續數週的活動減少。Lumen 據此研判是真人輪班操作，並說作息符合中國軍方常見的輪值時間。

四起零時差攻擊，打的都是「總管理室」

報告說每次只針對一到五個目標，集中在網管平台：企業用來一次管理成百上千台電腦或網路設備的系統。本站的讀法：可以把它想成集中管理多處門禁的管理室，被闖入後，它有權管的設備和客戶環境都可能受波及。比喻的極限在於，管理室的權限範圍要看各家怎麼設定，不等於整家公司。報告開頭寫：「systems with broad administrative reach can become high-value gateways to the entire organization and its customers」，意思是「具有廣泛管理權限的系統，可能成為通往整個組織及其客戶的高價值入口」（本站譯）。

  • Versa Director（SD-WAN 管理平台；SD-WAN 是用軟體集中管理總公司與各分點之間網路連線的技術）：CVE-2024-39717，Lumen 2024 年年中已公開記錄 Volt Typhoon 利用 Versa Director 的活動；美國網路安全暨基礎設施安全局（CISA）2024 年 8 月 23 日列入「已遭利用漏洞目錄」（KEV）。
  • N-able N-central（IT 委外業者管理大量客戶電腦的平台）：CVE-2025-8875、CVE-2025-8876 兩個漏洞串用，N-able 2025 年 8 月 13 日發布修補版 2025.3.1，同日列入 KEV。
  • Cisco Catalyst SD-WAN：CVE-2026-20127，CVSS 嚴重度 10.0 分（滿分）。報告說 2025 年底就被利用，Cisco 2026 年 2 月公布後攻擊仍持續；2 月 25 日列入 KEV，本站報過同系列的後續漏洞。
  • VeloCloud Orchestrator（Arista 的 SD-WAN 總控台）：CVE-2026-16812，Arista 已提供修補版本，安全公告初版日期為 2026 年 7 月 27 日，同日列入 KEV。本站 10 月報過的 VCO 漏洞是另一個編號。

另有一起「可能的」零時差攻擊打 IT 管理軟體 Quest KACE，受害者超過 30 個，Lumen 只有中度把握。三年間 Black Lotus Labs 通知了數百個受害單位，涵蓋電信、國防、IT 委外業者與基礎設施；夏威夷、加州、德州最常被鎖定。Lumen 的評估是，這符合預先在印太地區危機時會用到的通訊與基礎設施裡卡位的意圖。

台灣讀者要注意什麼

家用與小公司路由器（本站的讀法）：Lumen 寫駭客是從對網際網路開放的網頁管理介面進去，所以先依自己的機型確認，管理頁面沒有對外開放（各廠牌常叫「遠端管理」）、韌體是最新版；廠商已停止更新的舊機種，就找不到新韌體了。這些做法能減少被借用的機會，但不是保證，報告也說有些被借用的設備沒有已知漏洞。報告沒有寫路由器主人的資料被偷。

企業與資訊人員：Lumen 給的建議包括網管與 SD-WAN 平台的管理介面不要直接開在網路上，改經 VPN、跳板主機或專用管理網路；這類平台的漏洞優先修；集中保存紀錄並延長保存期；留意非上班時間的管理登入、遠端傳檔和設定變更。本站的讀法：電腦交給 IT 委外廠商代管的中小企業，可以問廠商用的是哪套遠端管理工具、上面那些漏洞修了沒有。台灣的《資通安全管理法》適用對象是公務機關與「特定非公務機關」（關鍵基礎設施提供者、公營事業等），第 10 條要求它們挑選並監督委外廠商的資安。本站的讀法：不論是不是這部法的適用對象，都要向設備管理者或委外廠商問清楚誰負責維護與更新。

各家怎麼報

據 CyberScoop 報導，它訪問了報告主筆研究員 Michael Horka，Horka 說鏈每天都在組裝和拆掉，所以沒辦法拿掉「一個網路」來阻斷。據 Nextgov/FCW 報導，一位知情人士說過去一年美國能源部的設施曾被鎖定，一位前官員說多家公用事業也在處理相關問題，Lumen 原文沒有這兩項消息。Nextgov 也回顧，美國官員 2024 年 1 月評估，Volt Typhoon 是為美國一旦捲入涉台衝突時破壞基礎設施預作準備。BleepingComputer 與 The Hacker News 本站讀到的是搜尋摘要，其中的設備分工、鎖定地區、四起確認加一起可能的攻擊，都與 Lumen 原文相同。

原文 Lumen Black Lotus Labs〈Silent Train: uncovering Volt Typhoon's operational framework for zero-day exploitation and strategic access〉（2026-10-28），跳板鏈的結構、時間、設備品牌、零時差漏洞、受害產業與地區、防禦建議取自此頁； CISA KEV JSON 資料檔（2026-10-28 版），五個 CVE 列入 KEV 的日期取自此處；原廠修補：Versa 安全公告、N-able N-central 2025.3.1 發布說明、Cisco 安全公告 cisco-sa-sdwan-rpa-EHchtZk、Arista 安全公告 0144，修補版本與發布日取自此處；《資通安全管理法》第 3、10 條； CyberScoop〈Researchers uncover Volt Typhoon's covert, ephemeral network〉（2026-10-28），研究員訪談； Nextgov/FCW〈China's 'Volt Typhoon' quietly built another hacking network following US crackdown, new findings say〉（2026-10-28），能源部與公用事業的匿名消息、2024 年官員評估； BleepingComputer〈Volt Typhoon hides zero-day attacks using 'Silent Train' framework〉與 The Hacker News〈Volt Typhoon Used Covert Silent Train Network in Four Zero-Day Exploitation Campaigns〉，用公開摘要比對報導重點。