--- title: Bijna duizend Zyxel-schakelaars gehackt via kwetsbaarheid die niet door eerdere patch werd afgedekt url: https://www.dataloco.com/nl/bijna-duizend-zyxel-schakelaars-gehackt-via-kwetsbaarheid-die-niet-door-eerdere-patch-werd-afgedekt published: 2026-11-12T14:27:48+00:00 language: nl section: Beveiliging source: https://xakep.ru/2026/11/09/zyxel-attacks-2/ organizations: Binarly, Zyxel, GreyNoise publisher: Dataloco --- # Bijna duizend Zyxel-schakelaars gehackt via kwetsbaarheid die niet door eerdere patch werd afgedekt Onderzoekers van Binarly hebben ontdekt dat een junipatch voor Zyxel GS1900-schakelaars geen bescherming bood tegen een exploit die hackers gebruikten om bijna duizend apparaten in te breken. De aanvallers maakten gebruik van een nieuwe zero-day-kwetsbaarheid die het uitvoeren van opdrachten met rootrechten zonder authenticatie mogelijk maakte. De nieuwe kwetsbaarheid kreeg het identificatienummer CVE-2026-107441 en treft tien modellen uit de GS1900-schakellaarreeks. De fout is een out-of-bounds write in een onderdeel dat verzoeken aan de webbeheersinterface van het apparaat verwerkt. Voor het misbruiken van de kwetsbaarheid is authenticatie niet vereist; een aanvaller hoeft alleen netwerktogang tot de webinterface te hebben en een speciaal voorbereide HTTP-aanvraag in te dienen. Zyxel-ingenieurs beoordeelden de ernst van dit probleem op 8,8 punten op de CVSS-schaal, terwijl specialisten van Binarly het een score van 9,8 punten gaven. CVE-2026-107441 bleek nauw verbonden met een ander probleem. In juni 2026 hadden Zyxel-ontwikkelaars de kwetsbaarheid CVE-2026-7273 verholpen door bijgewerkte firmware 2.90 Patch 2 uit te brengen. De toen verholpen fout was ook gerelateerd aan het mechanisme voor het verwerken van HTTP-parameters en het ontbreken van controle op hun aantal. Analisten van GreyNoise waarschuwden kort daarna dat zij aanvallen op GS1900-schakelaars observeerden, en hackers hadden al 996 apparaten in 48 landen gecompromitteerd. De aanvallers verzamelden configuraties, rootwachtwoordhashes en netwerkgegevens van de gehackte apparaten. Zoals nu bleek, was de junioplossing onvolledig. De ontwikkelaars voegden een controle op het aantal parameters toe, maar beperkten niet de grootte van elk ervan, en de controle werd al na het kopiëren van gegevens naar het geheugen uitgevoerd. Analisten van GreyNoise koppelden deze aanvallen aanvankelijk aan de fout CVE-2026-7273, maar het nu gepubliceerde onderzoek van Binarly toonde aan dat aanvallers het probleem bleven misbruiken na de patchrelease. Specialisten van Binarly vertellen dat zij op 17 september een in Python geschreven exploit voor Zyxel-schakelaars op een server vonden die verbonden was met de infrastructuur van de JITTERLY-backdoor, de SIXZUT-rootkit en de schadelijke Red Heron-campagne. Het bestuderen van deze exploit maakte het mogelijk een fout in het CGI-onderdeel van de Zyxel GS1900-firmware te ontdekken dat HTTP-aanvragen naar de webinterface van de schakellaar verwerkt. Voor parameters van dergelijke aanvragen gebruikte het programma een geheugengebied dat was berekend voor maximaal 140 elementen, maar beperkte niet de grootte van elk ervan. De exploit stuurde een buitensporig grote 140e parameter die buiten het toegewezen geheugen uitliep en als gevolg de parameterteller overschreef. Omdat de volgende parameter al buiten de buffergrenzen werd geschreven, konden aanvallers willekeurige opdrachtuitvoering met rootrechten bereiken. Hoewel de ontwikkelaars in Patch 2-firmware een controle op het aantal verwerkte parameters toevoegden, werd deze controle te laat uitgevoerd, na het kopiëren van gegevens naar het geheugen. De exploit van de aanvallers kon daarom de teller beschadigen voordat de controle werd geactiveerd en bleef werken zelfs na de release van de fixes. Specialisten van Binarly stelden Zyxel-ontwikkelaars op 29 september op de hoogte van het gevonden probleem, waarna het bedrijf het bestaan van een afzonderlijke kwetsbaarheid bevestigde die het eigen identificatienummer CVE-2026-107441 kreeg. Om de nieuwe kwetsbaarheid op te heffen, wijzigden de ontwikkelaars opnieuw het mechanisme voor het verwerken van HTTP-parameters: nu wordt het aantal parameters gecontroleerd voordat gegevens naar het geheugen worden geschreven, en de grootte van elke parameter is beperkt. De fix was opgenomen in firmware 2.90 Patch 3, uitgebracht eind oktober. ## This story in other languages - [English](https://www.dataloco.com/en/zyxel-switches-exploited-via-unpatched-vulnerability-affecting-996-devices) - [한국어](https://www.dataloco.com/ko/story-119) - [Español](https://www.dataloco.com/es/casi-mil-conmutadores-zyxel-fueron-comprometidos-mediante-una-vulnerabilidad-que-no-fue-protegida-por-un-parche-anterior) - [Italiano](https://www.dataloco.com/it/quasi-mille-commutatori-zyxel-compromessi-attraverso-una-vulnerabilita-non-coperta-dalla-patch-di-giugno) - [Deutsch](https://www.dataloco.com/de/zyxel-gs1900-unvollstandiger-patch-ermoglichte-root-zugriff-auf-fast-1000-gerate) - [Türkçe](https://www.dataloco.com/tr/zyxel-anahtarlarinda-yama-tarafindan-korunmayan-acikliktan-yararlanilarak-yaklasik-1000-cihaz-ele-gecirildi) - [Français](https://www.dataloco.com/fr/pres-de-mille-commutateurs-zyxel-compromis-par-une-vulnerabilite-que-le-correctif-de-juin-na-pas-corrigee) - [עברית](https://www.dataloco.com/he/zyxel-2) - [Polski](https://www.dataloco.com/pl/prawie-tysiac-przelacznikow-zyxel-zhakowanych-przez-luke-ktora-nie-chronila-lata) - [Português (Brasil)](https://www.dataloco.com/pt-br/quase-mil-comutadores-zyxel-foram-invadidos-por-meio-de-vulnerabilidade-que-o-patch-de-junho-nao-protegia) - [Svenska](https://www.dataloco.com/sv/nastan-tusen-zyxel-vaxlar-kapades-trots-sakerhetsuppdatering) - [Norsk](https://www.dataloco.com/no/nesten-tusen-zyxel-kommutatorer-kompromittert-via-ny-sarbarhet)