半年前轰动全球的中国骇客Salt?Typhoon攻击美国电信业者事故闹得沸沸扬扬，关键环节之一正是思科路由器平台是骇客主要的入侵管道，因此，该厂牌路由器的漏洞修补消息，势必受到更大的关注。

本週二（3月12日）思科针对网路设备作业系统IOS XR发布上半年例行更新，总共修补10项资安弱点，其中有7项为高风险层级、3个为中度风险层级，CVSS风险值介于4.0至8.8分。

根据风险评分的高低，最危险的是命令列（CLI）权限提升漏洞CVE-2025-20138，通过身分验证的本机攻击者能利用这项弱点，在作业系统底层以root权限执行任意命令，风险值为8.8。

这项弱点发生的原因，在于IOS XR对于传送到命令列的特定命令，出现使用者引数验证不够充分的情况，使得攻击者只要能够存取低权限的帐号，就有机会使用特定的命令触发，影响所有64位元版本的IOS XR作业系统，32位元IOS XR、IOS、IOS XE、NX-OS不受影响。

另外两个风险值达到8.6分的漏洞CVE-2025-20142、CVE-2025-20146也相当值得留意，这些漏洞都影响搭配特定型号线路卡的ASR 9000系列Aggregation Services Router，以及ASR 9902、ASR 9903路由器，未经身分验证的攻击者可发送特製的IPv4封包，就有机会重设线路卡，从而导致服务阻断（DoS）的现象。