Seguridad · 8 de noviembre de 2026
También publicado en 한국어, Deutsch, Français, Polski, עברית, हिन्दी, ไทย, 中文, Nederlands, Svenska, Norsk, Türkçe, Русский
Un parche de Zyxel GS1900 no logra bloquear un exploit de día cero que permite la ejecución de comandos de root
Los interruptores de red Zyxel GS1900 que recibieron una corrección previa del proveedor para una falla explotada activamente siguen siendo vulnerables al exploit utilizado por los atacantes, según descubrieron investigadores de Binarly.
El exploit permite que cualquier persona con acceso a la interfaz de gestión web de un interruptor ejecute comandos en él sin necesidad de iniciar sesión. Zyxel ha publicado un nuevo firmware para 10 modelos de GS1900 que cierra este agujero.
La corrección anterior, el firmware 2.90 Patch 2, fue mencionada en un aviso del 16 de junio para una falla identificada como CVE-2026-7273. El nuevo firmware 2.90 Patch 3 soluciona una falla rastreada por separado como CVE-2026-107441, en la cual se basa el exploit. Este nuevo parche fue publicado el 23 de octubre y el proveedor lo anunció en un aviso a principios de esta semana.
Los investigadores, que informaron la falla al proveedor el 29 de septiembre, la califican como un día cero. Para esa fecha, los atacantes ya disponían de un exploit funcional. GreyNoise reportó el 21 de septiembre que atacantes extrajeron datos de 996 interruptores GS1900 alrededor del 17 de agosto, vinculando los ataques a CVE-2026-7273.
El análisis técnico de Binarly rastrea la falla hasta el programa que maneja las solicitudes web en el interruptor, identificándola como una escritura fuera de límites. El programa almacena parámetros de solicitud en un área fija de 140 espacios pero no verificaba el tamaño de los parámetros. El exploit envía un parámetro número 140 demasiado grande que sobrescribe el contador de parámetros del programa, permitiendo al atacante ejecutar comandos con privilegios de root.
El Patch 2 añadió una verificación del contador, pero esta se ejecuta después de que el parámetro sobredimensionado ha sido copiado, por lo que no detiene la escritura. El Patch 3 corrige esto verificando el contador antes de copiar el parámetro y limitando su tamaño.
GreyNoise indicó que los atacantes utilizaron el exploit para descargar un script de recolección de datos, obteniendo configuraciones de interruptores, credenciales de root cifradas e información de red. De los 996 dispositivos afectados, 564 aún utilizaban credenciales predeterminadas de fábrica. Acronis vincula a los atacantes con un grupo de habla china llamado Red Heron.
La Agencia de Seguridad de Infraestructura y Ciberseguridad de Estados Unidos, CISA, añadió CVE-2026-7273 a su catálogo de Vulnerabilidades Explotadas Conocidas el 21 de septiembre. Los investigadores califican la falla con 9.8 sobre 10 en la escala de severidad CVSS, mientras que el proveedor le asignó 8.8.