---
title: Quasi mille commutatori Zyxel compromessi attraverso una vulnerabilità non coperta dalla patch di giugno
url: https://www.dataloco.com/it/quasi-mille-commutatori-zyxel-compromessi-attraverso-una-vulnerabilita-non-coperta-dalla-patch-di-giugno
published: 2026-11-12T11:30:07+00:00
language: it
section: Sicurezza
source: https://xakep.ru/2026/11/09/zyxel-attacks-2/
organizations: Binarly, Zyxel, GreyNoise
publisher: Dataloco
---

# Quasi mille commutatori Zyxel compromessi attraverso una vulnerabilità non coperta dalla patch di giugno

Ricercatori di Binarly hanno scoperto che una vulnerabilità zero-day nei commutatori Zyxel GS1900 è stata sfruttata per compromettere quasi 1000 dispositivi, nonostante una patch rilasciata a giugno non proteggesse da questo specifico difetto.

La vulnerabilità, identificata come CVE-2026-107441, colpisce dieci modelli della serie GS1900 e consiste in un errore di scrittura oltre i limiti del buffer nel componente che elabora le richieste all'interfaccia web di gestione del dispositivo. L'exploit non richiede autenticazione: un attaccante ha solo bisogno di accesso di rete all'interfaccia web e può inviare una richiesta HTTP appositamente costruita per eseguire comandi con privilegi root. Zyxel ha valutato la gravità a 8,8 sulla scala CVSS, mentre gli esperti di Binarly l'hanno classificata a 9,8.

Analisti di GreyNoise hanno osservato attacchi ai commutatori GS1900 e confermato che gli aggressori hanno compromesso 996 dispositivi in 48 paesi. Dai dispositivi violati, gli attaccanti hanno raccolto configurazioni, hash delle credenziali root e informazioni sulla rete.

La patch di giugno si è rivelata incompleta. Gli sviluppatori di Zyxel avevano aggiunto un controllo sul numero di parametri, ma non avevano limitato la dimensione di ciascuno di essi, e il controllo veniva eseguito dopo la copia dei dati in memoria. Il 17 settembre, gli esperti di Binarly hanno scoperto un exploit scritto in Python su un server collegato all'infrastruttura del backdoor JITTERLY, del rootkit SIXZUT e della campagna malware Red Heron.

L'analisi dell'exploit ha rivelato il difetto nel componente CGI della firmware Zyxel GS1900. Il programma utilizzava un'area di memoria calcolata per un massimo di 140 elementi ma non limitava la dimensione di ciascuno. L'exploit inviava un 140esimo parametro eccessivamente grande che superava i limiti della memoria allocata, sovrascrivendo il contatore dei parametri. Poiché il parametro successivo veniva scritto oltre i confini del buffer, gli attaccanti potevano ottenere l'esecuzione di comandi arbitrari con privilegi root.

Binarly ha notificato Zyxel del problema il 29 settembre. L'azienda ha confermato l'esistenza di una vulnerabilità separata e le ha assegnato l'identificatore CVE-2026-107441. La correzione è stata implementata modificando il meccanismo di elaborazione dei parametri HTTP: il numero di parametri viene ora verificato prima della scrittura dei dati in memoria e la dimensione di ciascun parametro è limitata. La correzione è stata inclusa nella firmware 2.90 Patch 3, rilasciata alla fine di ottobre.

## This story in other languages

- [English](https://www.dataloco.com/en/zyxel-switches-exploited-via-unpatched-vulnerability-affecting-996-devices)
- [한국어](https://www.dataloco.com/ko/story-119)
- [Español](https://www.dataloco.com/es/casi-mil-conmutadores-zyxel-fueron-comprometidos-mediante-una-vulnerabilidad-que-no-fue-protegida-por-un-parche-anterior)