Zyxel GS1900 CVE-2026-107441: zero-day użyty w atakach
CVE-2026-107441 umożliwia przejęcie switchy Zyxel GS1900 bez logowania. Sprawdź podatne modele, właściwy firmware i plan reakcji po ataku.
- AUTOR
- Karol Rapacz / CEO Breachroad · OSCP · PNPT
- PUBLIKACJA
- 6 listopada 2026
- CZAS CZYTANIA
- 11 min czytania
- TEMAT
- Podatności i CVE
Nowa podatność CVE-2026-107441 w przełącznikach Zyxel GS1900 pozwala napastnikowi osiągalnemu z sieci zarządzającej wysłać spreparowane żądanie HTTP i potencjalnie wykonać polecenia systemowe bez logowania. Problem jest szczególnie pilny, ponieważ zespół Binarly odnalazł działający exploit w infrastrukturze atakującego i potwierdził, że wcześniejsza poprawka dla CVE-2026-7273 go nie zatrzymywała.
Zyxel udostępnił poprawiony firmware 2.90(… .3)C0 dla dziesięciu modeli GS1900. Jeżeli urządzenie ma wydanie kończące się na .2)C0 albo starsze, sama czerwcowa aktualizacja nie zamyka nowej luki.
Najważniejsze działanie: ustal dokładny model i wersję firmware, zainstaluj wydanie .3)C0, ogranicz panel WWW do wydzielonej sieci administracyjnej i sprawdź, czy z przełącznika nie wychodził nietypowy ruch. Urządzenie z oznakami kompromitacji wymaga również rotacji zapisanych w konfiguracji haseł i sekretów.
Co wydarzyło się z przełącznikami Zyxel GS1900
Pierwotna kampania była łączona z CVE-2026-7273. GreyNoise opisało kradzież konfiguracji, danych sieciowych i skrótów haseł root z 996 przełączników w 48 krajach. Te liczby dotyczą kampanii przypisanej wówczas do starszego CVE.
Binarly później przeanalizowało odzyskany exploit i wykazało, że działa on również na wszystkich dziesięciu wydaniach firmware, które miały usuwać CVE-2026-7273. Badacze uznali, że kod wykorzystuje inną, wcześniej niezałataną wadę. Po zgłoszeniu problemu producent nadał jej identyfikator CVE-2026-107441 i przygotował nowy zestaw aktualizacji.
To rozróżnienie ma znaczenie. Nie należy bezpośrednio przypisywać wszystkich 996 przypadków do nowego CVE, ponieważ pierwotne dane GreyNoise używały starego identyfikatora. Jednocześnie analiza Binarly pokazuje, że exploit obecny w arsenale atakującego omijał czerwcową ochronę. Z perspektywy administratora urządzenie z samym wydaniem .2)C0 nadal wymaga działania.
Jak działa CVE-2026-107441
Według komunikatu Zyxel jest to zapis poza granicami bufora w programie CGI obsługującym panel WWW. Napastnik działający z sieci lokalnej i niewymagający uwierzytelnienia może wysłać odpowiednio przygotowane żądanie HTTP, aby potencjalnie wykonać polecenia systemu operacyjnego.
Producent ocenia podatność na 8,8/10 w CVSS 3.1. Wektor zakłada dostęp z sieci sąsiedniej, brak uprawnień i brak interakcji użytkownika. W praktyce kluczowe pytanie brzmi: kto może połączyć się z interfejsem zarządzającym przełącznika? Płaska sieć, dostęp użytkowników do VLAN-u administracyjnego lub wystawiony panel znacząco zwiększają ryzyko.
Binarly wskazuje, że nowy błąd dotyczy walidacji liczby i długości parametrów żądania. Wcześniejsza poprawka sprawdzała licznik zbyt późno, dlatego spreparowane dane mogły uszkodzić pamięć przed kontrolą. To wyjaśnia, dlaczego zamknięcie zgłoszenia po czerwcowej aktualizacji nie było wystarczające.
Podatne modele i poprawiony firmware Zyxel
| Model GS1900 | Podatne wersje | Wersja naprawiona |
|---|---|---|
| GS1900-8 | do 2.90(AAHH.2)C0 | 2.90(AAHH.3)C0 |
| GS1900-8HP | do 2.90(AAHI.2)C0 | 2.90(AAHI.3)C0 |
| GS1900-10HP | do 2.90(AAZI.2)C0 | 2.90(AAZI.3)C0 |
| GS1900-16 | do 2.90(AAHJ.2)C0 | 2.90(AAHJ.3)C0 |
| GS1900-24 | do 2.90(AAHL.2)C0 | 2.90(AAHL.3)C0 |
| GS1900-24E | do 2.90(AAHK.2)C0 | 2.90(AAHK.3)C0 |
| GS1900-24EP | do 2.90(ABTO.2)C0 | 2.90(ABTO.3)C0 |
| GS1900-24HPv2 | do 2.90(ABTP.2)C0 | 2.90(ABTP.3)C0 |
| GS1900-48 | do 2.90(AAHN.2)C0 | 2.90(AAHN.3)C0 |
| GS1900-48HPv2 | do 2.90(ABTQ.2)C0 | 2.90(ABTQ.3)C0 |
Pobieraj firmware dla dokładnego modelu z oficjalnego serwisu Zyxel. Zgodność samej głównej wersji 2.90 nie wystarcza — istotny jest cały numer kompilacji i końcówka .3)C0.
Co powinna zrobić firma
1. Zbuduj listę urządzeń
Zbierz model, numer seryjny, wersję firmware, adres zarządzający, lokalizację, właściciela biznesowego oraz sieci mające dostęp do panelu. Sprawdź również zapasowe urządzenia i przełączniki w małych oddziałach, które często wypadają z centralnej ewidencji.
2. Aktualizuj nawet po czerwcowej poprawce
Wydanie .2)C0 nie rozwiązuje CVE-2026-107441. Zaplanuj kontrolowane przejście na właściwy wariant .3)C0, wykonaj kopię konfiguracji i po restarcie potwierdź wersję na każdym urządzeniu.
3. Ogranicz panel zarządzający
Panel WWW powinien być dostępny wyłącznie z dedykowanego VLAN-u administracyjnego lub przez kontrolowany punkt pośredni. Zablokuj zarządzanie z sieci użytkowników, Wi-Fi gościnnego oraz internetu. Segmentacja nie zastępuje poprawki, ale ogranicza liczbę hostów mogących wykorzystać lukę. Więcej przykładów zawiera nasz poradnik o segmentacji sieci wewnętrznej.
4. Szukaj śladów i traktuj konfigurację jak możliwy wyciek
Przejrzyj logi zapory, NetFlow i DNS pod kątem nietypowych połączeń inicjowanych przez przełącznik, zwłaszcza transferów do nieznanych systemów. Sprawdź dostęp do panelu spoza listy administracyjnej, nowe konta, zmiany ACL, port mirroring oraz modyfikacje konfiguracji.
Jeżeli urządzenie mogło zostać przejęte, sama instalacja poprawki nie cofa wcześniejszych działań napastnika. Użyj zaufanego obrazu, zweryfikuj konfigurację i zmień hasła administratorów, społeczności SNMP, klucze RADIUS/TACACS oraz inne sekrety zapisane na urządzeniu.
Fakty źródłowe i wnioski Breachroad
Zyxel potwierdza podatność CGI, dziesięć objętych modeli, możliwość wykonania poleceń przez nieuwierzytelnionego napastnika z LAN-u oraz wersje .3)C0 usuwające błąd. Binarly potwierdza znalezienie exploita w infrastrukturze atakującego i skuteczność wobec firmware z wcześniejszą poprawką. GreyNoise dostarcza liczbę 996 naruszonych urządzeń z kampanii pierwotnie opisanej jako CVE-2026-7273.
Rekomendacje dotyczące kolejności aktualizacji, rotacji wszystkich sekretów, odtworzenia z zaufanego obrazu i przeglądu ruchu są wnioskami obronnymi Breachroad. Organizacje mogą przećwiczyć takie decyzje podczas szkoleń cyberbezpieczeństwa dla firm, a realną segmentację i ekspozycję urządzeń zweryfikować przez audyt bezpieczeństwa IT.
FAQ: CVE-2026-107441 i Zyxel GS1900
Czy czerwcowa aktualizacja dla CVE-2026-7273 wystarcza?
Nie. Binarly wykazało, że odzyskany exploit działał na dziesięciu wersjach z wcześniejszą poprawką. Dla CVE-2026-107441 potrzebne jest właściwe wydanie firmware kończące się na .3)C0.
Czy atak wymaga hasła administratora?
Nie. Zyxel opisuje atak jako nieuwierzytelniony, ale wymagający osiągalności panelu z sieci LAN. Ograniczenie dostępu do interfejsu zarządzającego jest więc ważną warstwą ochrony.
Czy CVE-2026-107441 znajduje się w katalogu CISA KEV?
Na dzień publikacji nowy identyfikator nie figuruje w KEV. W katalogu znajduje się starsze CVE-2026-7273. Brak nowego wpisu nie zmienia dowodów Binarly na użycie exploita jako zero-day.
Czy po aktualizacji trzeba zmienić hasła?
Jeżeli panel był osiągalny dla niezaufanych hostów lub widać ślady kompromitacji, tak. Zmień nie tylko konto administratora, lecz również sekrety przechowywane w konfiguracji i używane przez inne systemy.
Źródła pierwotne: Zyxel — advisory CVE-2026-107441, Binarly — analiza exploita GS1900, Binarly — BRLY-2026-057, GreyNoise — analiza kampanii GS1900.
