Атакуващи в момента активно експлоатират уязвимост с висока степен на опасност в суичове от серията Zyxel GS1900, според Агенцията за киберсигурност и инфраструктурна сигурност на САЩ (CISA).
Недостатъкът (проследяван като CVE-2026-7273) произтича от препълване на стековия буфер в CGI програмата, което позволява на автори на заплахи без привилегии в локалната мрежа (LAN) да изпълняват OS команди чрез специално форматирани HTTP заявки.
Zyxel пусна актуализации за сигурност за отстраняване на този проблем на 16 юни и посъветва клиентите си да обновят своя фърмуер „за оптимална защита“.
Въпреки че Zyxel все още не е актуализирала своя бюлетин за сигурност, за да потвърди активната експлоатация на този недостатък, CISA добави CVE-2026-7273 към своя каталог с известни експлоатирани уязвимости (KEV) в понеделник и разпореди на федералните граждански изпълнителни агенции (FCEB) да защитят своите суичове срещу продължаващите атаки до четвъртък, съгласно Задължителна оперативна директива (BOD) 26-04.
„Този тип уязвимост е чест вектор на атака за злонамерени субекти и представлява значителен риск за федералните предприятия“, заяви агенцията за киберсигурност.
„Въпреки че BOD 26-04 се прилага само за FCEB агенциите, CISA насърчава всички организации да внедрят управление на уязвимостите въз основа на риска и да приоритезират отстраняването на уязвимости от каталога KEV.“
| Засегнат модел | Засегната версия | Наличност на корекция за сигурност |
|---|---|---|
| GS1900-8 | 2.90(AAHH.1)C0 и по-ранни | 2.90(AAHH.2)C0 |
| GS1900-8HP | 2.90(AAHI.1)C0 и по-ранни | 2.90(AAHI.2)C0 |
| GS1900-10HP | 2.90(AAZI.1)C0 и по-ранни | 2.90(AAZI.2)C0 |
| GS1900-16 | 2.90(AAHJ.1)C0 и по-ранни | 2.90(AAHJ.2)C0 |
| GS1900-24 | 2.90(AAHL.1)C0 и по-ранни | 2.90(AAHL.2)C0 |
| GS1900-24E | 2.90(AAHK.1)C0 и по-ранни | 2.90(AAHK.2)C0 |
| GS1900-24EP | 2.90(ABTO.1)C0 и по-ранни | 2.90(ABTO.2)C0 |
| GS1900-24HPv2 | 2.90(ABTP.1)C0 и по-ранни | 2.90(ABTP.2)C0 |
| GS1900-48 | 2.90(AAHN.1)C0 и по-ранни | 2.90(AAHN.2)C0 |
| GS1900-48HPv2 | 2.90(ABTQ.1)C0 и по-ранни | 2.90(ABTQ.2)C0 |
Въпреки че CISA не е съобщила подробности за атаките, злоупотребяващи с CVE-2026-7273, компанията за киберразузнаване GreyNoise съобщи в доклад от понеделник, че е забелязала първите признаци на експлоатация миналия четвъртък.
Според GreyNoise, за съответния злонамерен субект се предполага, че е китайскоезичен киберпрестъпник, който е компрометирал близо 1000 суича Zyxel GS1900 като част от кампания, насочена към повече от дузина други уязвимости, засягащи широк спектър от софтуерни и технологични продукти.
„GreyNoise установи, че атакуващият е насочил действията си срещу ZyXEL GS1900 Smart Managed суичове в световен мащаб с нов експлойт за CVE-2026-7273. Към 17 септември 2026 г. това е първият публично документиран случай на експлоатация в реална среда на тази уязвимост“, се казва в съобщението. „Атакуващият успешно е експлоатирал и източил чувствителни данни от 996 суича ZyXEL в 48 държави.“
Устройствата на Zyxel често са обект на атаки, тъй като много доставчици на интернет услуги по света ги предоставят като стандартно оборудване при сключване на нови договори за интернет.
През февруари компанията предупреди, че няма планове да коригира уязвимости от тип нулев ден (CVE-2024-40891 и CVE-2024-40891), които се експлоатират активно и засягат рутери, спрени от поддръжка, но все още налични за продажба онлайн. Вместо това компанията „настоятелно“ посъветва клиентите да заменят рутерите си с по-нови продукти, чийто фърмуер вече е обновен.
В момента CISA проследява 13 уязвимости в Zyxel, засягащи рутери, суичове, защитни стени и NAS устройства на компанията, които са били или все още биват експлоатирани в реална среда.
Zyxel твърди, че над 1 милион бизнеса използват нейните мрежови решения на 150 пазара по света.