OpenWrt 25.12.6 发布：WPA3 默认收紧了，附升级与兼容模式设置

OpenWrt 是软路由玩家最常用的开源固件：刷进家里路由器，就能获得完整的 Linux 系统、软件包管理和细粒度的网络控制。昨天（10 月 18 日），OpenWrt 社区发布了 25.12 系列的第六个维护版 OpenWrt 25.12.6。维护版一般没有大功能，但这一次有两个变化值得认真看——一批默认启用的网络服务安全漏洞，以及 WPA3 加密默认行为的调整。

本文读者不需要 OpenWrt 使用经验，但需要有一台正在跑 OpenWrt 的设备（物理软路由或虚拟机均可），照着下面的步骤操作即可。

安全修复：官方说"强烈建议升级"

25.12.6 的主打内容是安全修复，而且修的都是默认就开着的服务，影响面不小：

uhttpd（OpenWrt 的 Web 服务器，装了 LuCI 就默认启用）：修复了 5 个无需认证即可触发的漏洞，包括 HTTP 请求头耗尽内存的拒绝服务（CVE-2026-102338）、/ubus/call/ 接口的类型混淆越界写等。
Mbed TLS（默认 TLS 库，uhttpd 的 HTTPS 和 WiFi 认证都用它）：升级到 3.6.7，修复了包含 ECDHE-PSK 远程缓冲区溢出在内的多个漏洞。
hostapd / wpa_supplicant：修复 WiFi 7（802.11be）多链路 MLO 管理帧解析问题，未认证的畸形帧就能让 hostapd 崩溃。
rpcd / LuCI 后端：修复两个高危权限提升问题（其中一个能让受限账户读写 root 文件）。
内核：升级到 6.12.112；OpenSSL 升级到 3.5.9；wolfSSL 升级到 5.9.4。

官方公告里用了加粗的"强烈建议升级"（strongly recommend upgrading）。如果你的软路由直接暴露在公网（比如 WAN 口有公网 IP 且开着 LuCI），这次更新的优先级应该提到最高。

变化一：WPA3 默认不再提供 GCMP-256

这是最值得理解的一处改动。从 25.12.0 到 25.12.5，OpenWrt 在 WiFi 6（HE）/ WiFi 7（EHT）网络上会默认提供 GCMP-256 成对加密和 SAE-EXT-KEY 密钥管理（一种带群相关哈希的 SAE）。问题在于：这么配之后，实测大约 15% 的客户端设备连不上或连接异常，包括 Pixel 10 手机、部分 Nanoleaf 设备、用了 802.11r 快速漫游的某些手机（连上后重启）。

于是 25.12.6 开始，WPA3-Personal（sae）和 WPA2/WPA3 混合模式（sae-mixed）默认只提供 CCMP + 普通 SAE，老选项 rsn_override 被移除。想继续用 GCMP-256，可以手动打开，但要确认家里设备都兼容。

新模式：sae-compat

25.12.6 还新增了一个 WPA3-Personal 兼容模式（sae-compat，LuCI 里叫"WPA2-PSK/WPA3-SAE Compatibility Mode"）：WPA2 的老设备看到的是一个正常的 WPA2 网络，而支持 RSN 覆盖的新设备自动走 WPA3。如果你的无线设置是 WPA3 混合模式但家里总有老设备掉线，升级后可以试试这个模式。

在 LuCI 里设置：进入「网络 → 无线 → 编辑对应 SSID → 无线安全」页签，加密方式选择 WPA2-PSK/WPA3-SAE Compatibility Mode 即可。

命令行方式：

# 在需要时才手动开启 GCMP-256（先确认客户端都兼容）
uci set wireless.default_radio0.gcmp256='1'
uci set wireless.default_radio0.sae_ext_key='1'
uci commit wireless
wifi reload

注意 default_radio0 要换成你自己无线接口的节名，gcmp256 只有 WiFi 驱动支持时才生效。

变化二：DHCP 客户端标识可以选了

另一个实用改动。从 25.12.0 开始，OpenWrt 的 DHCPv4 客户端默认会带上客户端标识（DHCP option 61），部分 ISP 的 DHCP 服务器认不出这种新行为，导致升级到 25.12 后 WAN 口拿不到 IP。25.12.6 新增了按接口的 sendclientid 选项（LuCI 里叫"首选客户端 ID"，在「网络 → 接口 → 编辑 → 高级设置」页签）：

值	含义
`auto`（默认）	沿用 25.12.0–25.12.5 的行为
`global`	始终用设备的默认 DUID
`hardware`	用接口 MAC 地址（DHCPv6 派生 DUID-LL）
`none`（仅 DHCPv4）	不发客户端标识

如果你之前升 25.12 后 WAN 口 DHCP 拿不到地址，回退到 24.10 时代的行为：

uci set network.wan.sendclientid='none'
uci set network.wan6.sendclientid='hardware'
uci commit network
service network reload

升级步骤

确认当前版本：LuCI 状态页，或 SSH 进路由器执行 cat /etc/openwrt_release。
备份配置：LuCI「系统 → 备份 / 升级」里下载一份配置备份。升级失败时靠它恢复。
下载固件：在 Firmware Selector 里选你的设备型号，版本选 25.12.6；也可以在 LuCI 里用 Attended Sysupgrade 在线升级。
升级：在「系统 → 备份 / 升级」刷入，勾选"保留配置"；过程中不要断电。
验证：升级后确认版本号、WiFi 正常、WAN 口拿到 IP。之前遇到 DHCP 拿不到 IP 的问题，可以按上文调整 sendclientid。

还在用 24.10 系列的朋友注意：24.10 的安全支持已在 2026 年 9 月底结束，不会再收到安全更新。建议趁这次直接升到 25.12.6，官方表示从 24.10 sysupgrade 升级一般能平滑过渡。

ki 的折腾笔记.