Prawie tysiąc przełączników Zyxel zhakowanych przez lukę, którą nie chroniła łata

selective focus photography of lens — Bernard Hermant / Unsplash

Specjaliści firmy Binarly odkryli, że łata z czerwca dla przełączników Zyxel GS1900 nie chroniła przed exploitem, który hakerzy wykorzystali do zhakowania prawie tysiąca urządzeń. Atakujący zamiast tego wykorzystali nową lukę zero-day pozwalającą na wykonywanie poleceń z uprawnieniami root bez uwierzytelnienia.

Nowa luka otrzymała identyfikator CVE-2026-107441 i dotyczy dziesięciu modeli przełączników serii GS1900. Błąd stanowi błąd zapisu poza przydzielonym buforem w komponencie przetwarzającym żądania do interfejsu zarządzania sieciowego. Aby wykorzystać lukę, atakujący potrzebuje jedynie dostępu sieciowego do interfejsu przełącznika i wysłania specjalnie przygotowanego żądania HTTP.

Inżynierowie Zyxel ocenili poważność problemu na 8,8 punktu w skali CVSS, podczas gdy specjaliści Binarly przyznali luce ocenę 9,8 punktu. Luka CVE-2026-107441 okazała się ściśle powiązana z innym problemem. W czerwcu 2026 roku deweloperzy Zyxel naprawili lukę CVE-2026-7273, wydając zaktualizowane oprogramowanie 2.90 Patch 2. Naprawiony wówczas błąd również dotyczył mechanizmu przetwarzania parametrów HTTP i braku weryfikacji ich liczby.

Analitycy firmy GreyNoise zaobserwowali ataki na przełączniki serii GS1900 i poinformowali, że hakerzy już skompromitowali 996 urządzeń w 48 krajach. Atakujący zbierali z zhakowanych urządzeń konfiguracje, skróty poświadczeń root i informacje o sieciach. Czerwcowa poprawka okazała się niekompletna, ponieważ deweloperzy dodali weryfikację liczby parametrów, ale nie ograniczyli rozmiaru każdego z nich, a sama weryfikacja wykonywała się już po skopiowaniu danych do pamięci.

Specjaliści Binarly odkryli 17 września exploit napisany w Pythonie dla przełączników Zyxel na serwerze powiązanym z infrastrukturą backdoora JITTERLY, rootkita SIXZUT i złośliwej kampanii Red Heron. Badanie exploitu ujawniło błąd w komponencie CGI oprogramowania Zyxel GS1900 przetwarzającym żądania HTTP. Program używał obszaru pamięci przeznaczonego maksymalnie na 140 elementów, ale nie ograniczał rozmiaru każdego z nich. Exploit wysyłał nadmiernie duży 140. parametr, który wykraczał poza przydzieloną pamięć i w rezultacie nadpisywał licznik parametrów.

Chociaż w oprogramowaniu Patch 2 deweloperzy dodali weryfikację liczby przetworzonych parametrów, wykonywała się ona zbyt późno, po skopiowaniu danych do pamięci. Exploit atakujących zdążył uszkodzić licznik przed uruchomieniem weryfikacji i kontynuował pracę nawet po wydaniu poprawek. Specjaliści Binarly powiadomili deweloperów Zyxel o znalezionej luce 29 września. Oprogramowanie 2.90 Patch 3 wydane pod koniec października zawiera naprawę, w której weryfikacja liczby parametrów wykonuje się przed zapisem danych do pamięci, a rozmiar każdego parametru jest ograniczony.