Le correctif de Zyxel pour les commutateurs GS1900 ne bloque pas l'exploitation d'une faille zero-day

brown wooden door with padlock — David Clode / Unsplash

Des commutateurs réseau Zyxel GS1900 restent vulnérables à une exploitation active malgré l'application d'un correctif précédent fourni par le vendeur, selon des chercheurs de Binarly.

L'exploitation permet à toute personne ayant accès à l'interface de gestion web d'un commutateur d'exécuter des commandes sans s'authentifier. Zyxel a publié un nouveau micrologiciel pour dix modèles GS1900 afin de combler cette brèche.

Le correctif initial, le micrologiciel 2.90 Patch 2, avait été mentionné le 16 juin pour une faille identifiée sous le code CVE-2026-7273. Le nouveau micrologiciel 2.90 Patch 3, publié le 23 octobre et annoncé par le vendeur cette semaine, corrige une faille distincte nommée CVE-2026-107441, sur laquelle repose l'exploitation. Les chercheurs ont signalé cette faille zero-day au vendeur le 29 septembre, alors que des attaquants disposaient déjà d'un moyen d'exploitation fonctionnel.

GreyNoise a rapporté le 21 septembre que des attaquants ont extrait des données de 996 commutateurs GS1900 autour du 17 août. Ces données comprenaient des configurations de commutateurs, des informations réseau et des identifiants root hachés. Parmi ces appareils, 564 utilisaient encore les identifiants par défaut d'usine. GreyNoise a lié ces attaques à la faille CVE-2026-7273, et les chercheurs affirment que l'exploitation décrite correspond à celle qu'ils ont trouvée.

L'analyse technique de Binarly indique que la faille provient du programme gérant les requêtes web, spécifiquement une écriture hors limites. Le programme stockait les paramètres de requête dans une zone fixe de 140 paramètres sans vérifier leur taille. L'exploitation envoie un 140ème paramètre trop volumineux qui écrase le compteur de paramètres, permettant ainsi de remplacer la fonction appelée par une commande de l'attaquant. Le Patch 2 a échoué car il vérifiait le compteur seulement après la copie du paramètre surdimensionné.

Les chercheurs évaluent la gravité de la faille à 9.8 sur 10 selon l'échelle CVSS, tandis que le vendeur l'évalue à 8.8. Ils précisent que les commandes de l'attaquant sont exécutées avec des privilèges root. La Cybersecurity and Infrastructure Security Agency a ajouté la faille CVE-2026-7273 à son catalogue des vulnérabilités exploitées connues le 21 septembre, imposant aux agences fédérales d'appliquer le Patch 2 avant le 24 septembre.

GreyNoise associe les attaquants à un groupe suivi par Acronis sous le nom de Red Heron, décrit comme parlant chinois. Acronis a précédemment lié Red Heron à une porte dérobée nommée JITTERLY lors d'une campagne ciblant des serveurs Gitea. Les chercheurs ont découvert l'exploitation le 17 septembre dans un dossier ouvert sur un serveur servant également de serveur de commande pour JITTERLY.