Хакери експлоатират уязвимост от тип нулев ден в Zyxel GS1900 в реални атаки за превземане на мрежови комутатори

Уязвимост в комутаторите Zyxel GS1900 вече е била използвана от хакери, а корекцията за сигурност, предназначена да я отстрани, не е проработила. Изследователи от Binarly откриха, че публичен експлойт е поразил различна грешка от тази, за която Zyxel е инсталирала корекция за сигурност. Zyxel вече я потвърди като нова уязвимост, проследявана като CVE-2026-107441.

Zyxel публикува своята корекция за CVE-2026-7273 на 16 юни 2026 г. След като GreyNoise съобщи за реални атаки през септември, Binarly тества всички десет коригирани версии на фърмуера на 28 септември и установи, че всяка една от тях все още е уязвима. Zyxel потвърди новата грешка на 11 октомври, пусна корекция за сигурност на 22 октомври и публикува своя бюлетин на 3 ноември.

Уязвимостта се намира в уеб програмата dispatcher.cgi. Тя е с критична оценка 9.8 и позволява на атакуващ да изпълнява команди с root права без влизане в системата. Същият уязвим код съществува и в httprestorecfg.cgi и httpupload.cgi.

Експлоатирана уязвимост от тип нулев ден в Zyxel GS1900

Уеб страницата на комутатора съхранява параметрите на заявките във фиксиран блок памет от 140 слота. Всеки слот побира 1 024 байта. Кодът първо копира данните и едва след това проверява броя им. Дълга стойност в слот 139 препълва паметта и презаписва самия брояч.

Атакуващ може да зададе отрицателно число на брояча и да записва в паметта преди блока. Това му позволява да презапише указатели към функции и да изпълни свои собствени команди. Корекцията за сигурност на Zyxel добави проверка на брояча, но некоректното копиране все още се случва преди изпълнението на тази проверка.

Binarly също така твърди, че Zyxel е описала грешката неправилно. Уязвимостта се намира в глобалната памет, а не в стека. Освен това тя работи през обикновен HTTP от всяка мрежа, която има достъп до комутатора, поради което Binarly я оценява по-високо от оценката 8.8, дадена от Zyxel.

Според GreyNoise един атакуващ е поразил 996 комутатора GS1900 в 48 държави около 17 август. Киберпрестъпникът е откраднал настройки на устройствата, хеширани root пароли и мрежови детайли. Общо 564 от тези комутатори все още са използвали фабрични данни за вход по подразбиране. Най-много жертви има в Италия, САЩ и Тайван.

Експлойтът представлява Python скрипт, прикрит с PyArmor. Той изтегля скрипт за събиране на данни от сървъра на атакуващия чрез TFTP, след което копира откраднатите данни в папка, достъпна през уеб. GreyNoise свързва автора на заплахата с кампанията срещу Gitea, която Acronis нарече Red Heron, въз основа на споделени сървъри и зловреден софтуер.

Тази кампания използва JITTERLY – Linux бекдор с повече от 30 команди. Той крие в себе си руткит, наречен SIXZUT, който може да прикрива файлове, процеси и мрежови връзки. Binarly откри негови образци, докато проверяваше този сървър за засичания чрез Binarly Transparency Platform.

CISA добави CVE-2026-7273 към своя списък с известни експлоатирани уязвимости на 21 септември. Нашият по-ранен доклад относно предупреждението на CISA за комутаторите Zyxel GS1900 разглежда тази стъпка. Сега Binarly твърди, че или първата корекция за сигурност на Zyxel е била погрешна, или атаките са поразили различна грешка от посочената от CISA. И в двата случая уязвимостта от бюлетина на Binarly присъства в десетте версии, предоставени като корекции.

Същият злонамерен субект е проникнал и в сайтове на WordPress, както показва нашият материал за хакери, експлоатиращи уязвимости в WordPress за кражба на правителствени записи. GreyNoise преброи повече от 18 000 откраднати записа в един от случаите.

Обновете всеки комутатор GS1900 с корекцията от 22 октомври или по-нова версия от Zyxel. Премахнете страниците за уеб управление от интернет и ги ограничете само до доверени администраторски мрежи. Незабавно сменете всички пароли по подразбиране.

CISA също така съветва екипите да проверят устройствата за необичайна администраторска активност, променени настройки и странни уеб заявки. Тъй като атакуващите са придобили хеширани root идентификационни данни, третирайте всеки изложен на интернет комутатор като потенциално компрометиран и подменете неговите пароли.

Индикатори за компрометиране