2026年2月19日，美国网络安全和基础设施安全局（CISA）发布了一份罕见措辞严厉的工业控制系统安全公告（编号ICSA-26-050-03），对济南有人物联网技术有限公司生产的USR-W610串口转无线转换器发出的多项高危漏洞发出警告。其中最为严重的漏洞编号为CVE-2026-25715，CVSS v3.1基础评分高达9.8分，属于最高危险等级的“严重”（CRITICAL）级别。
CISA在公告中详细说明了多个漏洞的具体情况。CVE-2026-25715涉及的是一个极度危险的设计缺陷：该设备的Web管理界面允许管理员将用户名和密码设置为空值。一旦被应用，设备将允许任何人在Web管理界面和Telnet服务上使用空凭证进行身份验证。这意味着，攻击者无需任何凭据即可获得对该设备的完全管理控制权，这是一种直接导致认证机制被整体绕过的底层安全设计失误。
此外，被同时公示的还有另外三个漏洞。CVE-2026-24455（CVSS 7.5分）涉及设备的嵌入式Web接口不支持HTTPS/TLS加密，仅使用HTTP基本身份验证，导致数据以明文方式传输，同一网络上的攻击者可以被动拦截用户的登录凭证。CVE-2026-26049和CVE-2026-26048则分别涉及凭据保护不足和关键功能缺少认证等问题。
CISA在公告中明确指出，受影响的设备版本为USR-W610固件3.1.1.0及以下版本。尤为令人担忧的是，根据CISA在公告第15页提供的补充信息，该产品已被设备制造商正式列为“终止支持”（end-of-life）产品，厂商明确表示“没有计划发布任何安全补丁”。这意味着成千上万的已部署设备将永久性地暴露在上述高危漏洞的威胁之下，永远无法获得官方的安全修复。
济南有人物联网技术有限公司总部位于中国山东，其产品在全球范围内广泛部署，涉及的关键基础设施领域包括关键制造业等多个行业。面对这一安全危机，CISA给出的建议直接而强硬：强烈建议所有使用USR-W610设备的组织立即采取网络隔离措施，将被影响的设备从未受信任的网络中完全移除，或直接停止使用并替换为其他仍在安全支持期内的产品。CISA同时鼓励用户联系设备制造商以获取进一步的指导。
安全分析人士指出，USR-W610事件折射出工业物联网领域一个长期存在但未获足够重视的结构性问题：大量工业物联网设备的生命周期管理与安全维护之间存在严重脱节。许多设备设计寿命长达十年甚至更久，但其软件支持周期往往远短于此。当厂商停止提供安全更新后，这些设备便成为潜伏在网络中的定时炸弹。随着网络攻击手段的日益精进，这一问题只会愈发严峻。
