כמעט אלף מתגי Zyxel נפרצו דרך חולשה שלא הוגנה על ידי תיקון

brown wooden 9-piece office table and chairs — S O C I A L . C U T / Unsplash

חוקרים בחברת Binarly גילו כי תיקון מיוני לעבור מתגי Zyxel GS1900 לא הגן מפני ניצול שהשתמשו בו פורצים כדי לפרוץ לכמעט אלף מכשירים. התוקפים השתמשו בחולשה חדשה מסוג אפס יום המאפשרת ביצוע פקודות עם הרשאות root ללא אימות.

החולשה החדשה קיבלה מזהה CVE-2026-107441 וגורמת לעשר דגמים של מתגי סדרת GS1900. הבאג הוא שגיאת כתיבה מחוץ לגבול זיכרון מוקצה בתוך רכיב המטפל בבקשות לממשק הניהול של האתר. לניצול החולשה אין צורך באימות, אלא רק בגישה לרשת לממשק האתר של המתג וביכולת לשלוח בקשת HTTP מיוחדת.

מהנדסי Zyxel הערכו את חומרת הבעיה ב-8.8 נקודות בסולם CVSS, אך מומחי Binarly הקצו לחולשה ציון של 9.8 נקודות. החולשה החדשה קשורה קשר הדוק לבעיה אחרת. בחודש יוני 2026 תיקנו מפתחי Zyxel חולשה CVE-2026-7273 בעזרת הוצאת קושחה מעודכנת 2.90 Patch 2. הבאג שתוקן אז היה גם קשור למנגנון עיבוד פרמטרי HTTP וחוסר בדיקה של כמותם.

מנתחי GreyNoise הזהירו כי הם צופים בהתקפות על מתגי סדרת GS1900, וכבר פרצו פורצים 996 מכשירים ב-48 מדינות. התוקפים אספו מהמכשירים שנפרצו תצורות, גיבובי אישורי root ומידע על רשתות.

התברר כי התיקון מיוני היה לא שלם. מפתחי Zyxel הוסיפו בדיקה של כמות הפרמטרים אך לא הגבילו את גודל כל אחד מהם, והבדיקה עצמה בוצעה לאחר העתקת הנתונים לזיכרון.

מומחי Binarly מצאו ב-17 בספטמבר ניצול כתוב בשפת Python עבור מתגי Zyxel בשרת הקשור לתשתית backdoor בשם JITTERLY, rootkit בשם SIXZUT וקמפיין זדוני בשם Red Heron. בחינת הניצול הזה חשפה שגיאה בתוך רכיב CGI של קושחת Zyxel GS1900 המטפל בבקשות HTTP לממשק האתר של המתג.

עבור פרמטרים של בקשות כאלה השתמשה התוכנה בתחום זיכרון המיועד לכל היותר ל-140 אלמנטים, אך לא הגבילה את גודל כל אחד מהם. הניצול שלח פרמטר 140 גדול מדי שחרג מגבול הזיכרון המוקצה וכתוצאה מכך כתב מחדש את מונה הפרמטרים. מכיוון שהפרמטר הבא נכתב כבר מחוץ לגבול הזיכרון, זה אפשר לתוקפים להשיג ביצוע של פקודה שרירותית עם הרשאות root.

למרות שבקושחות Patch 2 הוסיפו מפתחי Zyxel בדיקה של כמות הפרמטרים המעובדים, היא בוצעה מאוחר מדי, לאחר העתקת הנתונים לזיכרון. לכן הניצול של התוקפים הספיק לפגוע במונה לפני שהבדיקה הופעלה והמשיך לעבוד גם לאחר יציאת התיקונים.

מומחי Binarly הודיעו למפתחי Zyxel על הבעיה שנמצאה ב-29 בספטמבר, ולאחר מכן אישרה החברה קיום חולשה נפרדת שקיבלה מזהה משלה CVE-2026-107441. כדי לתקן את החולשה החדשה שינו המפתחים שוב את מנגנון עיבוד פרמטרי HTTP: כעת בדיקת כמותם מתבצעת לפני כתיבת הנתונים לזיכרון, וגודל כל פרמטר מוגבל. התיקון נכלל בקושחה 2.90 Patch 3 שיצאה בסוף אוקטובר.