Nesten tusen Zyxel-kommutatorer kompromittert via ny sårbarhet

Captain America shield — N I F T Y A R T ✍🏻 / Unsplash

Sikkerhetsselskapet Binarly har avdekket at en ny sårbarhet ble utnyttet for å bryte seg inn i nesten tusen Zyxel-kommutatorer. Den opprinnelige sikkerhetsoppdateringen fra juni 2026 viste seg å være utilstrekkelig til å stoppe angrepene. Angrepene har rammet 996 enheter i 48 ulike land.

Den nye sårbarheten har fått identifikatoren CVE-2026-107441 og påvirker ti modeller i GS1900-serien. Feilen er en skrivefeil utenfor grensene for en minnebuffer i komponenten som håndterer nettverksforespørsler til enhetens webgrensesnitt. Angripere trenger ikke å logge seg inn for å utnytte feilen. De trenger bare nettverksadgang til webgrensesnittet og sender en spesialtilpasset HTTP-forespørsel for å utføre kommandoer med root-rettigheter.

Zyxel har vurdert alvorlighetsgraden til 8,8 på CVSS-skalaen, mens Binarly har gitt den en høyere score på 9,8. Sårbarheten er tett knyttet til en tidligere feil, CVE-2026-7273, som ble rettet i firmwareversjon 2.90 Patch 2 i juni. Den opprinnelige feilen skyldtes manglende sjekk av antall HTTP-parametere. Den nye feilen oppstod fordi utviklerne ikke begrensde størrelsen på hvert enkelt parameter, og sjekken ble utført etter at dataene allerede var kopiert til minnet.

Sikkerhetsanalytikere fra GreyNoise advarte tidligere om at de observerte angrep mot GS1900-kommutatorene. De rapporterte at angrepene samlet inn konfigurasjonsfiler, passordhasher for root-brukere og nettverksinformasjon fra de kompromitterte enhetene. GreyNoise tilskrev opprinnelig disse angrepene til den tidligere feilen, men Binarly har nå vist at angrepene fortsatte etter at den opprinnelige oppdateringen ble utgitt.

Binarly fant en Python-utnyttelse på en server knyttet til bakkanten JITTERLY, ruten SIXZUT og skadekampanjen Red Heron den 17. september. Utnyttelsen sendte et for stort 140. parameter som overskrev en teller for antall parametere. Dette tillot angriperen å skrive data utenfor minnebufferen og oppnå vilkårlig kommandoutførelse. Den nye oppdateringen, 2.90 Patch 3, utgitt i slutten av oktober, retter feilen ved å sjekke antall parametere før data kopieres til minnet og ved å begrense størrelsen på hvert parameter.