Исследователи Binarly обнаружили, что обновление Zyxel GS1900 не блокирует уязвимость нулевого дня

Команда исследователей безопасности из компании Binarly установила, что сетевые коммутаторы Zyxel GS1900, на которые была установлена ранее выпущенная прошивка для устранения активно эксплуатируемого дефекта, по-прежнему уязвимы для атаки, позволяющей выполнять команды с правами суперпользователя. Этот вывод был сделан после анализа технического характера уязвимости и проверки её работоспособности на эмулированном программном обеспечении и реальном оборудовании.

Атака позволяет любому лицу, имеющему сетевой доступ к веб-интерфейсу управления коммутатором, выполнять произвольные команды без необходимости входа в систему. Исследователи классифицируют этот дефект как уязвимость нулевого дня, поскольку злоумышленники уже обладали рабочим эксплойтом на момент, когда уязвимость была передана производителю 29 сентября. В техническом анализе Binarly указано, что проблема заключается в записи данных за пределы выделенной области памяти в программе, обрабатывающей веб-запросы. Эксплойт отправляет параметр, превышающий допустимый размер, что приводит к перезаписи счётчика параметров и последующему подмену вызываемой функции на ту, которая выполняет команды атакующего.

Компания Zyxel выпустила новую прошивку версии 2.90 Patch 3 для десяти моделей коммутаторов GS1900, которая устраняет дефект, отслеживаемый как CVE-2026-107441. Эта прошивка была опубликована 23 октября, а производитель объявил о ней в бюллетене безопасности на прошлой неделе. В отличие от предыдущей прошивки 2.90 Patch 2, которая была выпущена 16 июня для устранения уязвимости CVE-2026-7273, новая версия проверяет счётчик параметров до копирования данных и ограничивает размер копируемых значений. Исследователи подтвердили, что новая прошивка исправляет описанный дефект, тогда как предыдущее обновление не останавливало атаку, так как проверка счётчика выполнялась только после того, как слишком большой параметр уже был скопирован.

Служба мониторинга GreyNoise сообщила 21 сентября, что злоумышленники похитили данные с 996 коммутаторов GS1900 примерно 17 августа. В отчёте указано, что атаки были связаны с уязвимостью CVE-2026-7273, и исследователи Binarly подтвердили, что описанный эксплойт совпадает с тем, который они обнаружили. Похищенные данные включали конфигурации коммутаторов, хешированные учётные данные суперпользователя и сетевую информацию. У 564 из атакованных устройств по-прежнему использовались учётные данные по умолчанию. Отчёт GreyNoise связывает атаки с группой, которую Acronis отслеживает под названием Red Heron и описывает как китайскоязычную. Исследователи нашли эксплойт 17 сентября в открытой папке на сервере, который также служил командным центром для бэкдора JITTERLY.

Агентство по кибербезопасности и инфраструктурной безопасности США (CISA) добавило CVE-2026-7273 в каталог известных эксплуатируемых уязвимостей 21 сентября и установило для федеральных агентств срок до 24 сентября для применения исправления. Исследователи оценили новый дефект в 9,8 балла по шкале CVSS, тогда как производитель указал оценку 8,8 в записи об уязвимости. Ни GreyNoise, ни Binarly не уточнили, какая версия прошивки была установлена на атакованных коммутаторах, а бюллетень производителя не содержит информации о том, была ли новая уязвимость уже эксплуатируется. В каталоге CISA на момент последнего обновления данные о CVE-2026-107441 отсутствуют.