보안 · 2026년 11월 13일
다른 언어로도 게시됨 हिन्दी
Zyxel 네트워크 장비에서 권한 상승 취약점 발견, 전 세계 996개 기기 침해
Zyxel이 GS1900 시리즈 네트워크 스위치에서 영점 데이 취약점을 제거했다. 공격자들은 이 취약점을 이용해 전 세계 48개 국가에서 약 1000개의 기기를 거의 침해했으며, 설정 파일과 자격증명을 탈취했다.
CVE-2026-107441로 등록된 취약점은 스위치 관리 웹 인터페이스의 버퍼 외부 쓰기 오류다. 네트워크에 접근할 수 있는 인증되지 않은 공격자가 특수하게 제작된 HTTP 요청을 통해 운영 체제 명령을 실행할 수 있게 한다. Zyxel은 10개 모델의 GS1900 시리즈 스위치가 영향을 받는다고 밝혔다.
회사는 10월 22일 보안 업데이트를 배포했고 11월 3일 관련 공지를 발표했다. 초기에는 이 취약점이 Zyxel이 수개월 전에 수정한 더 오래된 문제인 CVE-2026-7273으로 잘못 인식되었다. 6월 16일 회사는 같은 GS1900 시리즈 스위치에 영향을 미치는 인증 전 버퍼 오버플로우 버그를 해결하기 위해 업데이트를 배포했었다.
사이버보안 전문 회사 GreyNoise는 8월 17일경부터 Kapibala라는 공격 집단의 활동을 감지했다. 공격자들은 Zyxel 스위치를 대상으로 48개 국가에서 996개 기기를 침해했다. 원격으로 명령을 실행한 후 기기 설정, 해시된 루트 자격증명, 네트워크 정보를 수집하는 스크립트를 업로드했다.
GreyNoise에 따르면 Kapibala는 중국에서 활동하는 것으로 추정되며 Red Heron 해킹 캠페인과 연관되어 있다. Acronis는 이 캠페인 참여자들이 Git 저장소 호스팅 서비스인 Gitea의 중대 취약점을 사용했다고 보고했다.
9월 21일 GreyNoise가 캠페인을 공개했을 때 공격을 CVE-2026-7273과 연결했다. 같은 날 미국 사이버보안 및 기반시설 보안청은 CVE-2026-7273을 알려진 악용 취약점 카탈로그에 추가해 연방 기관에 조치를 의무화했다.
펌웨어 보안 전문 회사 Binarly의 연구원들은 공격에 사용된 익스플로잇이 실제로는 당시 미수정 상태였던 이전에 알려지지 않은 다른 버그를 목표로 했다는 것을 발견했다. Red Heron 인프라 조사 중 Binarly는 난독화된 Python 익스플로잇이 포함된 접근 가능한 아카이브를 발견했다.
익스플로잇 분석 결과 CVE-2026-7273이 수정된 펌웨어 버전의 존재를 특별히 확인했다. 이는 익스플로잇이 이러한 버전을 공격하기 위해 개발되거나 업데이트되었음을 시사한다. 9월 28일 Binarly는 익스플로잇이 CVE-2026-7273이 수정된 모든 10개 펌웨어 버전에 대해 효과적임을 확인했다.
연구원들은 이전 보안 업데이트에 버퍼 오버플로우를 방지하기 위한 검사가 포함되어 있었지만 공격자들이 검사를 통과하기 전에 매개변수 카운터 값을 변경해 우회할 수 있었다고 밝혔다. 이를 통해 익스플로잇은 인증을 거치지 않고도 메모리를 덮어쓰고 명령을 실행할 수 있었으며, 이전 보안 업데이트가 설치된 스위치에서도 작동했다.
9월 29일 Binarly는 발견 사항을 Zyxel에 보고했다. 10월 11일 제조업체는 새로운 취약점을 확인하고 CVE-2026-107441 식별자를 부여했다. Zyxel은 익스플로잇이 HTTP 매개변수 길이 검사 부재도 악용했기 때문에 이를 별도의 취약점으로 분류했다.
10월 22일 회사는 매개변수 크기를 제한하고 메모리에 데이터를 복사하기 전에 수량을 확인하는 새로운 펌웨어 업데이트를 배포했으며, 이는 이 악용 방법을 불가능하게 만든다. 스위치 관리자들은 CVE-2026-107441로부터 보호하기 위해 최신 펌웨어 업데이트를 설치할 것을 권고받았다.