CISA добави CVE-2026-7273, критична уязвимост от тип препълване на буфера в стека (stack-based buffer overflow) в CGI програмата на суичове от серията Zyxel GS1900, към своя каталог KEV, след като потвърди активната ѝ експлоатация.

Уязвимостта може да позволи на неудостоверен атакуващ в локалната мрежа да изпрати специално съставен HTTP заявка към уязвимото устройство.

Успешното експлоатиране може да позволи на атакуващия да изпълнява команди на операционната система върху засегнатия суич, създавайки сериозен риск за организации, които използват тези устройства в корпоративни или оперативни мрежи.

Суичовете Zyxel GS1900 са управляеми мрежови устройства, което означава, че компрометирането им може да осигури на атакуващия ценна позиция вътре в целевата среда.

От компрометирания суич авторите на заплахи могат да се опитат да наблюдават трафика, да променят мрежовите настройки, да прекъснат свързаността, да се придвижват латерално в мрежата или да осигурят персистентност чрез промени в конфигурацията.

Уязвимост в суичове Zyxel GS1900 се експлоатира активно

CISA класифицира проблема в CWE-121, което се отнася до уязвимости от тип препълване на буфера в стека. Такива слабости възникват, когато дадена програма записва повече данни в паметния буфер, отколкото той може безопасно да побере.

Атакуващите могат да експлоатират това състояние, за да презапишат съседна памет и потенциално да пренасочат хода на изпълнение на програмата. CISA добави CVE-2026-7273 към своя каталог на 21 септември 2026 г. с краен срок за отстраняване 24 септември 2026 г.

Агенцията призовава засегнатите организации да приложат мерките за смекчаване на риска, предоставени от производителя, съгласно Задължителна оперативна директива 26-04 (BOD 26-04), която приоритетизира актуализациите за сигурност въз основа на риска.

CISA също отбеляза, че уязвимостта изисква криминалистичен триаж (forensic triage) съгласно BOD 26-04. Това изискване показва, че организациите не трябва да третират отстраняването на уязвимостта само като инсталиране на корекция за сигурност.

Екипите по сигурност трябва да прегледат засегнатите суичове за следи от неоторизиран достъп, съмнителна административна активност, неочаквани промени в конфигурацията и необичайни HTTP заявки, насочени към административния интерфейс.

Към момента CISA не е потвърдила дали уязвимостта е използвана в кампании с криптовируси (ransomware). Въпреки това, активната експлоатация и възможността за изпълнение на команди от неудостоверен атакуващ правят уязвимостта изключително важна за защитниците.

Атакуващите често се насочват към мрежови инфраструктурни устройства, тъй като те могат да осигурят широка видимост и контрол след първоначалното компрометиране.

Организациите, използващи суичове от серията Zyxel GS1900, трябва да идентифицират изложените и вътрешно достъпните устройства и да ограничат административните интерфейси само до доверени административни мрежи.

Приложете насоките на Zyxel възможно най-скоро и прегледайте логовете за възможни опити за експлоатация. Ако няма налични мерки за защита, CISA съветва да се преустанови използването на засегнатия продукт.