Zyxel के नेटवर्क स्विच में विशेषाधिकार वृद्धि की कमजोरी मिली

Zyxel ने अपने GS1900 श्रृंखला के नेटवर्क स्विच में एक शून्य-दिन की कमजोरी को ठीक किया है। हमलावरों ने इसका उपयोग करके दुनिया भर में लगभग 1000 उपकरणों को समझौता किया और कॉन्फ़िगरेशन फ़ाइलें तथा साख चोरी कीं।

CVE-2026-107441 के रूप में पंजीकृत यह कमजोरी वेब प्रबंधन इंटरफेस में एक बफर से बाहर लिखने की त्रुटि है। यह अनुमति रहित हमलावरों को नेटवर्क तक पहुंच के साथ विशेष रूप से तैयार किए गए HTTP अनुरोधों के माध्यम से ऑपरेटिंग सिस्टम आदेश निष्पादित करने की अनुमति देता है। समस्या GS1900 श्रृंखला के दस स्विच मॉडल को प्रभावित करती है। Zyxel ने 22 अक्टूबर को सुरक्षा अपडेट जारी किए और 3 नवंबर को संबंधित सूचना प्रकाशित की।

प्रारंभ में, सुरक्षा शोधकर्ताओं ने इस कमजोरी को एक पुरानी समस्या के साथ भ्रमित किया जिसे Zyxel ने कई महीने पहले ठीक किया था। 16 जून को, कंपनी ने CVE-2026-7273 को संबोधित करने के लिए अपडेट जारी किए थे, जो एक बफर ओवरफ्लो बग था जो प्रमाणीकरण से पहले होता था और समान GS1900 स्विच को प्रभावित करता था।

साइबर सुरक्षा विशेषज्ञ कंपनी GreyNoise ने 17 अगस्त के आसपास Kapibala नामक एक समूह की गतिविधि दर्ज की। हमलावरों ने Zyxel स्विच पर हमला किया और 48 देशों में 996 उपकरणों को समझौता किया। हमलों के दौरान, हमलावरों ने दूरस्थ रूप से आदेश निष्पादित किए, फिर एक स्क्रिप्ट अपलोड की जो डिवाइस कॉन्फ़िगरेशन, हैश किए गए रूट साख और नेटवर्क जानकारी एकत्र करती थी।

GreyNoise के अनुसार, Kapibala समूह संभवतः चीन से संचालित होता है और Red Heron हैकर अभियान से जुड़ा है। पहले, Acronis ने बताया था कि इस अभियान के प्रतिभागियों ने Gitea में एक महत्वपूर्ण कमजोरी का उपयोग किया था।

21 सितंबर को जब GreyNoise ने इस अभियान के बारे में जानकारी का खुलासा किया, तो उसने हमलों को CVE-2026-7273 से जोड़ा, जिसे Zyxel ने जून में ही ठीक किया था। उसी दिन, अमेरिकी साइबर सुरक्षा एवं बुनियादी ढांचा सुरक्षा एजेंसी ने CVE-2026-7273 को ज्ञात दुरुपयोग की जाने वाली कमजोरियों की सूची में जोड़ा।

हालांकि, फर्मवेयर सुरक्षा विशेषज्ञ Binarly ने पाया कि हमलों में उपयोग किया जाने वाला शोषण वास्तव में एक अलग, पहले अज्ञात बग को लक्षित कर रहा था जो उस समय अभी भी अनुपचारित था। Binarly के विशेषज्ञों ने Red Heron बुनियादी ढांचे की जांच के दौरान एक अस्पष्ट Python शोषण युक्त एक सुलभ संग्रह की खोज की।

शोषण विश्लेषण से पता चला कि यह विशेष रूप से फर्मवेयर संस्करणों की जांच करता है जहां CVE-2026-7273 को ठीक किया गया था। 28 सितंबर को, Binarly ने पुष्टि की कि शोषण सभी दस फर्मवेयर संस्करणों के विरुद्ध प्रभावी रहता है जहां CVE-2026-7273 को ठीक किया गया था।

शोधकर्ताओं ने पाया कि पिछले सुरक्षा अपडेट में बफर ओवरफ्लो को रोकने के लिए जांच थी, लेकिन हमलावर जांच से पहले पैरामीटर काउंटर मान को बदलकर इसे बायपास कर सकते थे। यह शोषण को मेमोरी को फिर से लिखने और प्रमाणीकरण के बिना आदेश निष्पादित करने की अनुमति देता था, यहां तक कि पिछले सुरक्षा अपडेट स्थापित करने वाले स्विच पर भी।

29 सितंबर को Binarly ने अपने निष्कर्षों की Zyxel को सूचित किया। 11 अक्टूबर को निर्माता ने नई कमजोरी की पुष्टि की और इसे CVE-2026-107441 आईडी दिया। 22 अक्टूबर को, Zyxel ने नए फर्मवेयर अपडेट जारी किए जो पैरामीटर आकार को सीमित करते हैं और मेमोरी में डेटा कॉपी करने से पहले उनकी संख्या की जांच करते हैं।

स्विच प्रशासकों को CVE-2026-107441 से सुरक्षा के लिए नवीनतम फर्मवेयर अपडेट स्थापित करने की सलाह दी गई है।