WORLD NEWS
路由器出厂就等待远程指令：Zbtlink暂停销售20款产品
20款Zbtlink路由器出厂时已启用一个可从网络外部接收管理员指令的组件。
厂商称其为维护功能，但已暂停相关产品销售并撤下固件；这不代表所有Zbtlink产品都受影响。
研究发现了什么
VulnCheck称，`rctl`会反复连接外部服务器，在没有加密和身份验证的情况下等待指令。
测试确认它能执行root命令并打开反向shell，相当于让远程系统获得路由器内部命令窗口。
哪些设备在范围内
原报告列出在Amazon、AliExpress和Alibaba等平台销售的20款型号。全球安装数量和实际被利用次数尚不清楚。
厂商采取了什么措施
Zbtlink称代码用于售后支持而非恶意访问。公司仍暂停了相关型号销售，删除了固件下载，并表示正在开发修正版。
用户应检查什么
查看机身标签和管理页面上的厂商、型号与固件版本。若在名单中，应关注官方更新，并在补丁发布前考虑更换设备或严格限制外连。
只修改管理密码不能移除固件内置组件。