---
title: Zyxel, 전 세계 네트워크 스위치 약 1,000대 해킹에 이용된 제로데이 취약점 해결
url: https://www.dataloco.com/ko/zyxel-1000
published: 2026-11-07T05:28:25+00:00
language: ko
section: 보안
source: https://www.bleepingcomputer.com/news/security/zyxel-fixes-zero-day-exploited-to-hack-nearly-1-000-network-switches/
organizations: Zyxel, GreyNoise, Binarly, CISA, Acronis
publisher: Dataloco
---

# Zyxel, 전 세계 네트워크 스위치 약 1,000대 해킹에 이용된 제로데이 취약점 해결

Zyxel이 자사의 GS1900 시리즈 네트워크 스위치에서 발견된 제로데이 취약점을 해결하는 패치를 배포했습니다. 해커들은 이 취약점을 악용하여 전 세계적으로 약 1,000대의 장치를 침해하고 설정 파일과 자격 증명을 훔쳤습니다.

CVE-2026-107441로 추적되는 이 취약점은 스위치의 웹 관리 인터페이스에 존재하는 경계 외 쓰기 결함입니다. 네트워크 접근 권한이 있는 인증되지 않은 공격자가 특수하게 제작된 HTTP 요청을 사용하여 운영 체제 명령을 실행할 수 있게 합니다. 이 결함은 10가지 GS1900 스위치 모델에 영향을 미치며, Zyxel은 10월 22일에 보안 업데이트를 출시하고 11월 3일에 보안 권고문을 게시했습니다.

사이버 보안 기업 GreyNoise는 8월 17일경부터 Kapibala로 추적되는 중국어 사용 위협 행위자가 Zyxel 스위치를 악용하는 것을 관찰했습니다. 보고에 따르면 공격자들은 48개국에 걸쳐 996대의 장치를 침해했습니다. 이들은 원격으로 명령을 실행한 후 장치 설정, 해시 처리된 루트 자격 증명 및 네트워크 정보를 수집하는 스크립트를 다운로드했습니다. GreyNoise는 Kapibala를 Red Heron 해킹 캠페인과 연결했으며, Acronis는 이 캠페인이 자체 호스팅 Git 서비스인 Gitea의 심각한 취약점을 악용하고 있다고 이전에 보고한 바 있습니다.

초기에 이 공격은 Zyxel이 6월 16일에 패치한 CVE-2026-7273 취약점 때문인 것으로 오인되었습니다. 9월 21일 GreyNoise가 이 캠페인을 공개했을 때도 해당 취약점으로 돌렸으며, 같은 날 CISA는 CVE-2026-7273을 알려진 악용 취약점 목록에 추가했습니다. 그러나 펌웨어 보안 기업 Binarly의 연구원들은 공격에 사용된 익스플로잇이 패치되지 않은 별도의 알려지지 않은 취약점을 대상으로 한다는 사실을 발견했습니다.

Binarly 연구원들은 JITTERLY 백도어 및 SIXZUT 루트킷과 연결된 Red Heron 인프라를 조사하던 중 Zyxel GS1900 스위치를 대상으로 하는 난독화된 파이썬 익스플로잇이 포함된 아카이브를 발견했습니다. 분석 결과, 이 익스플로잇은 CVE-2026-7273 패치가 적용된 펌웨어 버전을 구체적으로 확인했으며, 9월 28일 Binarly는 해당 패치가 적용된 10가지 펌웨어 출시 버전 모두에 대해 익스플로잇이 여전히 유효함을 확인했습니다.

연구원들은 이전 보안 업데이트가 버퍼 오버플로를 방지하는 검사를 추가했지만, 공격자가 검증 전 매개변수 카운터를 손상시켜 이를 우회할 수 있었다고 판단했습니다. 이를 통해 인증 없이 메모리를 덮어쓰고 명령을 실행할 수 있었습니다. Binarly는 9월 29일에 이 발견 내용을 Zyxel에 보고했고, Zyxel은 10월 11일에 새로운 취약점을 확인하고 CVE-2026-107441 번호를 부여했습니다. Zyxel은 익스플로잇이 HTTP 매개변수 길이의 검증 누락을 함께 악용했기 때문에 이를 별개의 결함으로 분류했습니다.