Может ли заражённый роутер проникать в подключенную к нему ОС без ведома юзера, как это делал тот же Petya?
Чтобы "проникнуть в ОС" в ней должна быть уязвимость, которой пользуется атакующий хакер или вирус. И Petya действовал именно так: атаковал через уязвимость EternalBlue. И, да, если уязвимость есть - то взломанный (или зараженный вирусом) роутер может быть использован как площадка для дальнейшей атаки в локальную сеть.

предпологается, что операционка актуальной версии, где ранее известные уязвимости уже исправлены давно 
С таким условием атака возможна только через неизвестные уязвимости (zero-day).
Ну по идее да