Quase mil comutadores Zyxel foram invadidos por meio de vulnerabilidade que o patch de junho não protegia

two women facing security camera above mounted on structure — Matthew Henry / Unsplash

Pesquisadores da Binarly descobriram que quase mil comutadores Zyxel GS1900 foram comprometidos por uma vulnerabilidade de dia zero que não era coberta por uma correção lançada em junho de 2026. Os invasores exploram a falha para executar comandos com privilégios de raiz sem autenticação.

A vulnerabilidade recebeu o identificador CVE-2026-107441 e afeta dez modelos da série GS1900. O defeito é um erro de escrita fora dos limites do buffer alocado em um componente que processa solicitações para a interface web de gerenciamento do dispositivo. Para explorar a falha, um atacante precisa apenas de acesso de rede à interface web e deve enviar uma solicitação HTTP especialmente preparada.

A Zyxel avaliou a gravidade em 8,8 pontos na escala CVSS, enquanto os especialistas da Binarly atribuíram uma pontuação de 9,8 pontos. A vulnerabilidade está intimamente relacionada a outro problema. Em junho de 2026, a Zyxel corrigiu a vulnerabilidade CVE-2026-7273 lançando o firmware versão 2.90 Patch 2. Aquele defeito também estava vinculado ao mecanismo de processamento de parâmetros HTTP e à falta de validação de sua quantidade.

Analistas da GreyNoise alertaram que observavam ataques aos comutadores GS1900 e que invasores já haviam comprometido 996 dispositivos em 48 países. Os atacantes coletavam configurações, hashes de credenciais de raiz e informações de rede dos dispositivos invadidos.

O reparo de junho provou ser incompleto. Os desenvolvedores adicionaram uma verificação da quantidade de parâmetros, mas não limitaram o tamanho de cada um, e a verificação era executada após a cópia dos dados na memória. Inicialmente, especialistas da GreyNoise associavam os ataques ao defeito CVE-2026-7273, mas a pesquisa da Binarly mostrou que os invasores continuaram explorando o problema após o lançamento do patch.

Especialistas da Binarly descobriram em 17 de setembro um exploit escrito em Python para comutadores Zyxel em um servidor vinculado à infraestrutura do backdoor JITTERLY, do rootkit SIXZUT e da campanha maliciosa Red Heron. O exame do exploit revelou um erro no componente CGI do firmware Zyxel GS1900 que processa solicitações HTTP.

O programa usava uma área de memória dimensionada para no máximo 140 elementos de parâmetros, mas não limitava o tamanho de cada um. O exploit enviava um parâmetro 140 excessivamente grande que ultrapassava os limites da memória alocada e sobrescrevia o contador de parâmetros. Como o próximo parâmetro era escrito fora dos limites do buffer, isso permitia aos atacantes executar comandos arbitrários com privilégios de raiz.

Embora o Patch 2 adicionasse uma verificação da quantidade de parâmetros processados, ela era executada muito tarde, após a cópia dos dados na memória. Portanto, o exploit dos invasores conseguia danificar o contador antes da verificação ser acionada e continuava funcionando mesmo após o lançamento das correções.

Especialistas da Binarly notificaram a Zyxel sobre o problema em 29 de setembro. A empresa confirmou uma vulnerabilidade separada que recebeu o identificador CVE-2026-107441. Para eliminar a nova falha, os desenvolvedores modificaram novamente o mecanismo de processamento de parâmetros HTTP: agora a quantidade é verificada antes da escrita dos dados na memória e o tamanho de cada parâmetro é limitado. A correção foi incluída no firmware 2.90 Patch 3, lançado no final de outubro.