Китайскоговорещ атакуващ е експлоатирал уязвимост (CVE-2026-7273) в некоригирани суичове ZyXEL GS1900 Smart Managed Switches и е извлякъл чувствителни данни от 996 устройства в 48 държави, съобщи GreyNoise в понеделник.

Засегнатите суичове се намират предимно в Италия, САЩ, Тайван, Южна Корея и редица страни от ЕС.

Експлоатацията на CVE-2026-7273 е част от развиваща се операция

Серията Zyxel GS1900 е линия от Gigabit Ethernet суичове, предназначени за мрежи на малки и средни предприятия. Те обикновено се внедряват в малки офиси, училища, хотели и магазини на дребно.

CVE-2026-7273 е уязвимост от тип препълване на буфера в стека (stack-based buffer overflow), засягаща суичове Zyxel GS1900 с версия на фърмуера 2.90(XXXX.1)C0 и по-ранни. Тя позволява на неудостоверен атакуващ в локалната мрежа (LAN) да изпълнява OS команди на устройството чрез специално проектирана HTTP заявка.

Уязвимостта, съобщена поверително, бе отстранена през юни 2026 г., когато Zyxel пусна нови версии на фърмуера с корекция за сигурност.

Атаките, експлоатиращи CVE-2026-7273, са извършени на или около 17 август, съобщава GreyNoise, като атакуващият е откраднал конфигурацията на компрометираните устройства, мрежова информация и хеширани идентификационни данни за достъп на ниво root. (Според GreyNoise 564 от тези жертви са имали фабрични пароли по подразбиране.)

„Кодът за експлоатация се съдържаше в Python скрипт, който беше силно обфускиран с комерсиалния инструмент за обфускация PyArmor“, споделят изследователите.

След деобфускация те откриват, че той изрично е насочен към версии на фърмуера от 2.10 до 2.90 за GS1900-24, но „предоставя опции от командния ред (напр. базов адрес на libc, глобални офсети) за атакуване на друг фърмуер, попадащ в обхвата на уязвимостта.“

GreyNoise свързва тази активност по експлоатация с атакуващ, който е свързан или е същият, който по-рано тази година е атакувал базирани на WordPress системи чрез CVE-2026-63030 и CVE-2026-60137 (веригата от експлоати „WP2Shell“) и е компрометирал достъпни от интернет инстанции на Gitea чрез CVE-2026-60004.

След пробив в инсталации на WordPress в 49 организации в 29 държави, в поне един от случаите атакуващият е внедрил персонализиран web shell, откраднал е администраторски акаунти за WP, идентификационни данни, извлякъл е данни от SQL бази данни и е добавил нов администраторски акаунт.

След успешни атаки срещу инстанции на Gitea атакуващият е извлякъл изходен код, идентификационни данни, установил е персистентен достъп и го е използвал за странично придвижване (lateral movement).

CISA добави CVE-2026-7273 – уязвимостта в Zyxel – към своя каталог с познати експлоатирани уязвимости (Known Exploited Vulnerabilities) и нареди на гражданските федерални агенции в САЩ да отстранят уязвимостта до 24 септември 2026 г. и да проверят за индикатори за компрометиране.

GreyNoise сподели техен списък, въпреки че един IP адрес, участващ в експлоатацията, остава редактиран. „Скриваме точния IP адрес поради чувствителност спрямо жертвите и оперативен риск. След като тези фактори бъдат смекчени, GreyNoise ще публикува актуализация“, заявиха от компанията.

Също под атака: Veeam Agent for Windows

В други новини за „активна експлоатация“ Arctic Wolf съобщава, че атакуващите експлоатират CVE-2026-32996, уязвимост за локално ескалиране на привилегии във Veeam (backup) Agent за Microsoft Windows, но все още не е споделила подробности за атаките.

„Arctic Wolf препоръчва да се даде приоритет на отстраняването на уязвимостта на споделени работни станции, сървъри, администраторски работни станции и системи, където е наличен локален потребителски достъп или където компрометирането на акаунт с ниски привилегии може да доведе до превземане на крайната точка“, съветват те.

„Обновете Veeam Backup & Replication до 13.0.2.29 или по-нова версия. Това ще обнови и Veeam Agent for Windows до версия 13.0.3.1220, която съдържа корекцията за сигурност.“

Свързахме се с Arctic Wolf за повече информация и ще актуализираме тази статия, когато получим отговор от тях.