Sécurité · 12 novembre 2026
Également publié en English, 한국어, Español, Italiano, Deutsch, Türkçe, עברית, Nederlands, Polski, Português (Brasil), Svenska, Norsk
Près de mille commutateurs Zyxel compromis par une vulnérabilité que le correctif de juin n'a pas corrigée
Des chercheurs de Binarly ont découvert que presque mille commutateurs Zyxel GS1900 ont été piratés par une vulnérabilité de jour zéro que le correctif publié en juin n'a pas éliminée. Les attaquants ont exploité cette faille pour exécuter des commandes avec les droits root sans authentification.
La vulnérabilité, identifiée sous le numéro CVE-2026-107441, affecte dix modèles de commutateurs de la série GS1900. Elle consiste en une erreur d'écriture en dehors des limites d'un tampon dans un composant qui traite les requêtes adressées à l'interface web de gestion du dispositif. Un attaquant ayant accès réseau à cette interface peut envoyer une requête HTTP spécialement préparée pour exploiter la faille sans avoir besoin de s'authentifier.
Zyxel a évalué la gravité de ce problème à 8,8 sur l'échelle CVSS, tandis que les spécialistes de Binarly lui ont attribué une note de 9,8. Cette vulnérabilité est étroitement liée à un autre problème corrigé en juin 2026. À cette époque, Zyxel avait publié le correctif 2.90 Patch 2 pour résoudre la vulnérabilité CVE-2026-7273, qui concernait également le mécanisme de traitement des paramètres HTTP et l'absence de vérification de leur nombre.
Les analystes de GreyNoise ont signalé que des attaques ciblaient les commutateurs GS1900 et que les pirates avaient compromis 996 dispositifs dans 48 pays. Les attaquants collectaient les configurations, les hachages des identifiants root et les informations réseau à partir des appareils compromis.
Le correctif de juin s'est avéré incomplet. Les développeurs de Zyxel avaient ajouté une vérification du nombre de paramètres, mais n'avaient pas limité la taille de chacun d'eux, et cette vérification s'effectuait après la copie des données en mémoire. Le 17 septembre, les chercheurs de Binarly ont découvert un exploit écrit en Python pour les commutateurs Zyxel sur un serveur lié à l'infrastructure de la porte dérobée JITTERLY, du rootkit SIXZUT et de la campagne malveillante Red Heron.
L'analyse de cet exploit a révélé l'erreur dans le composant CGI de la firmware Zyxel GS1900. Le programme utilisait une zone mémoire prévue pour un maximum de 140 éléments sans limiter la taille de chacun. L'exploit envoyait un 140e paramètre excessivement volumineux qui dépassait les limites de la mémoire allouée et réécrivait le compteur de paramètres, permettant aux attaquants d'exécuter une commande arbitraire avec les droits root.
Binarly a notifié Zyxel du problème le 29 septembre. L'entreprise a confirmé l'existence d'une vulnérabilité distincte et lui a attribué l'identifiant CVE-2026-107441. Le correctif a modifié le mécanisme de traitement des paramètres HTTP en effectuant la vérification du nombre avant l'écriture en mémoire et en limitant la taille de chaque paramètre. Cette correction a été incluse dans la firmware 2.90 Patch 3, publiée fin octobre.